Daboweb | Seguridad y ayuda informática |

Se encuentran disponibles desde Microsoft las actualizaciones o boletines de seguridad publicados para Julio de 2010.

En esta ocasión, se compone de cuatro (4) actualizaciones de seguridad, 3 catalogadas como críticas,  y 1 catalogada como importante, que vienen a solventar varias vulnerabilidades que podrían permitir la Ejecución remota de código en los sistemas no actualizados.

La actualización se encuentra disponible desde el propio update automático de Windows o bien, mediante su descarga manual y posterior instalación. Como siempre, recomendamos actualizar los sistemas a la mayor brevedad posible.

También y como cada mes, está disponible una nueva actualización del programa de eliminación de software malintencionado de Microsoft para sistemas Windows Xp, Windows 2000, Windows 2003 Server y Windows Vista.

Esta herramienta no es un sustituto del antivirus, busca infecciones causadas por software malintencionado específico que actualmente existe (como Blaster, Sasser y Mydoom) en equipos con Windows XP, Windows 2000, Windows Server 2003 y Windows Vista instalado, y ayuda a eliminarlas.

# Boletín y descarga de actualizaciones de Julio 2010.

A continuación, nos hacemos eco de la nota de prensa que nos han enviado desde la Universidad Politécnica de Madrid sobre este interesante evento relacionado con la seguridad informática de asistencia gratuita previa inscripción;

El martes 30 de noviembre de 2010, se celebrará en la Universidad Politécnica de Madrid DISI 2010, quinta edición del Día Internacional de la Seguridad de la Información organizado por la Cátedra UPM Applus+ de Seguridad y Desarrollo de la Sociedad de la Información CAPSDESI, adscrita a la Escuela Universitaria de Ingeniería Técnica de Telecomunicación EUITT en el campus sur de dicha universidad.

El evento, cuya asistencia es gratuita previa inscripción, cuenta en esta quinta edición con la destacada participación del Dr. Taher Elgamal, criptólogo inventor de la firma digital que lleva su nombre y que deriva en el estándar Digital Signature Standard del NIST, además de uno de los desarrolladores del protocolo Secure Socket Layer SSL y de la norma SET, Secure Electronic Transaction.

La nota de prensa al completo con todo el programa.

Tras la compra se Sun Microsystems por parte de la compañía Oracle se abrieron una serie de interrogantes sobre determinados productos como MySQL o el sistema operativo de código abierto OpenSolaris. Pues bien, parece ser que este último no pasa por buenos momentos, ya que además del hecho de que no aparecen actualizaciones de OpenSolaris, sus responsables máximos, el OpenSolaris Governing Board, han lanzado un ultimatum a la multinacional acerca del futuro del mismo y de su comunidad de usuarios. Hasta el próximo dia 16 de Agosto es cuando Oracle debe decidir sobre el asunto, bajo la amenaza de disolución del  OGB, lo que vendría a suponer el abandono del proyecto.

Se esperaba que para marzo de año saliera una nueva versión, pero tras un comunicado oficial se retraso esa fecha hasta Junio, mes en el que tampoco hubo noticias ni las ha habido en este mes de Julio en el que nos encontramos. Se especula con la posibilidad de que Oracle quiera «privatizar» con software propietario parte de este sistema operativo, lo que a buen seguro no gustaría nada a la comunidad y que provocaría con todo seguridad una migración hacia otro SO de caracter libre como sería GNU/Linux.

Este «puñetazo sobre la mesa» del OGB lo que pretende es acabar de una vez por todas con la actitud de Oracle, que ha sumido a este SO en un ambiente de desinformación y nerviosismo que parece pudiera acabar con el peor de los finales. Lamentablemente vemos otro caso de una multinacional que gracias a una compra de otra compañía pone en peligro el futuro de un proyecto de código abierto, sería una auténtica pena que OpenSolaris viera truncado su desarrollo gracias al abandono y poco apoyo de Oracle.

Mas información: aquí.

Comenzamos aquí lo que será la primera parte de Herramientas para la interpretación de capturas de red que dedicaremos a Windump (Windows), y TCPDump para sistemas basados en GNU/Linux-UNIX. Hablaremos de los dos indistíntamente.

El propósito de Windump / TCPDump es la captura y análisis del tráfico de red. Es un sniffer. Aquí teneís información sobre detección de sniffers: Detectando Sniffers en nuestra red. Redes conmutadas y no conmutadas.

Estan basados en la librería de captura de paquetes Pcap / Winpcap. Estas dos librerías son usadas por otras herramientas como Ethereal o Snort, e incluyen un lenguaje de filtros común para todos. Quizás, como ya hablamos en la introducción, Windump/TCPDump no sea la herramienta perfecta atendiendo a la interpretación fácil de los datos reportados, pero sí que es de las mejores en cuanto a su potencia y flexibilidad. Veremos el uso de estas herramientas desde un enfoque lo más práctico posible.

Enlaces para descarga de TCPDump y Windump:

• Linux: http://www.tcpdump.org/
• Windows: Winpcap (http://www.winpcap.org/windump/) Windump (http://www.winpcap.org/windump/)

Una vez instalada la librería y el programa en sí, tan sólo debemos de introducir en la línea de comandos (haremos referencia a Windump, para Windows, aunque casi todo es válido para su versión GNU/Linux).

Comenzando.

Antes que nada tendremos que averiguar cuales son las interfaces de red de que disponemos y, de ellas, cual vamos a usar:

root@bt:~# tcpdump -D
1.eth0
2.usbmon1 (USB bus number 1)
3.usbmon2 (USB bus number 2)
4.any (Pseudo-device that captures on all interfaces)
5.lo

Las opciones básicas para comenzar a usar son las siguientes:

-i(interface) interface que vamos ausar para la captura
-n no resolver los nombres de host
-v -vv cantidad de información que nos devuelve
-t elimina marcas de tiempo.
-q estableceremos el indicador de salida rápida que hará que nos devuelva menos información y que las líneas sean más cortas. Se puede combinar con -v y -vv

Vemos estas opciones iniciales con un ejemplo: Continue reading…

Según leemos en InformationWeek, dentro del plan de actualizaciones trimestrales de Oracle, el próximo Martes se pondrán a disposición de los usuarios 59 parches que corrigen múltiples vulnerabilidades en varios de sus productos.

Cabe destacar que de esas vulnerabilidades, 21 se encuentran en la suite de productos de Solaris. Esta actualización contiene 13 nuevas correcciones de seguridad para el servidor de base de datos Oracle, parches también para 8 diferentes componentes de bases de datos Oracle:(Application Express, Export, Listener, Net Foundation Layer, Network Layer, Oracle OLAP, Oracle Secure Backup) etc.

Se recomienda a todos los administradores que usen estos productos, actualizar a la mayor brevedad posible cuando estén disponibles los parches ya que varias de las vulnerabilidades que se solventan, están catalogadas como críticas y explotables remotamente sin falta de autenticación bajo determinadas circunstancias.

Toda la info sobre estos parches en Oracle.

Como cada mes, ya tenéis disponible en este caso el número 47, de la revista Foto DNG (Año V). listo para descargar, también ver en formato Flash online , versión iPad o adquirir en versión impresa a través de Bubok.

Desde Daboweb os recomendamos la descarga y visualización de Foto DNG, revista electrónica gratuita sobre fotografía, dirigida a todos los aficionados y profesionales de este ámbito.

Una publicación que está orientada a usuarios que vengan del analógico como del digital. El formato es como siempre en pdf, y están licenciada bajo Creative Commons.

El índice de contenidos de este número 47 es el siguiente;

Wireshark es una herramienta multiplataforma de análisis de red, producto de la evolución de Ethereal. Funciona al igual que lo puede hacer cualquier otro sniffer tal como Windump, TCPDump ó dsniff. Pero, al contrario de estos, lo hace mostrando los datos a través de un entorno gráfico y de forma más amigable y entendible.

Cuando en Wireshark realizamos una captura de paquetes relacionada con el protocolo HTTP, podemos ver, e incluso guardar, todos los objetos transmitidos durante una determinada sesión de captura. También es posible extraer ficheros binarios. Este tipo de tareas las realiza Wireshark a través de Follow TCP Stream marcando la opción Raw.

También usando la opción Export Selected Packet Bytes del menú contextual situándonos en el campo DATA de la interfaz de Wireshark o, en caso de objetos HTTP desde File > Export > Objets > HTTP. Más información sobre extracción de ficheros binarios y objetos HTTP .

Gracias a Tadding Security Blog, disponemos ya de una nueva opción. La captura de objetos / ficheros SMB. Aunque, de momento, solo está disponible para Linux, esta opción nos permite capturar y visualizar los archivos involucrados en transacciones SMB.

SMB (Server Message Block), es, básicamente, un protocolo que permite compartir archivos, impresoras (Más info en Seguridad y Redes), puertos serie, etc entre hosts conectados en red. Pertenece a la capa de aplicación OSI y es un protocolo del tipo cliente servidor. SMB se encuentra por encima de NETBIOS, que es la que se encarga de la resolución de Nombre Host / IP. Más información sobre SMB / CIFS y NETBIOS.

Esta nueva opción la tenemos gracias a un plugin desarrollado por Tadding Security Blog: http://blog.taddong.com/2010/05/capturing-smb-files-with-wireshark.html. Para disponer de esta opción tan solo instalar o actualizar a la última versión disponible para Wireshark. La versión para Windows está siendo ahora verificada por el equipo de Wireshark.

Cómo funciona;

Si realizamos una captura de red, en la que tengamos tráfico SMB, una vez terminada solo tenemos que ir a File > Export > Object > SMB… y obtendremos una ventana con una lista de objetos o ficheros recopilados con su ubicación, tamaño, etc. Podemos abrir los ficheros directamente o guardarlos:

Más información sobre Wireshark:

En medio de constantes rumores sobre la situación económica de Mandriva, llega una nueva versión estable y lista para ser usada por la comunidad de mandriva, se trata de 2010.1 «Spring», la cual lleva bastante retraso en su aparición, ya que hace aproximadamente nueve meses desde que apareciera la última. Las principales novedades son:

• · En la edición ONE ya no será necesario entrar en el escritorio para realizar la instalación del sistema, puesto que se ha incluido un instalador.
• · Drakguard, bloqueo de aplicaciones a ciertos usuarios.
• · Se ha añadido una utilidad de configuración de contraseña cifrada para GRUB.
• · Shell restringido a la cuenta de invitado, así como también acceso restringido a los archivos del usuario.

También se ha hecho un buen trabajo de actualización de paquetería en Mandriva 2010.1 «Spring», donde por supuesto, podremos disfrutar de las habituales herramientas y programas de todo distribución linuxera. Recordemos que Mandriva se distribuye en dos formatos, la edición denominada ONE que viene en un live-CD y que trae tanto software libre como propietario (Nvidia, flash, etc) y la versión Free, en DVD y en la cual solo estrán disponibles aplicaciones informáticas de código libre.

En el enlace a la fuente de la noticia encontraréis información al respecto y enlaces de descarga.

Iniciamos ya de pleno esta nueva sección de la que os hablamos hace unos días, en esta entrega vamos a dar un repaso a los diferentes tipos de amenazas electrónicas contra las que tendremos que enfrentarnos a lo largo de nuestra andadura informática.

Hay un término que se utiliza mucho para englobar a todas las amenazas electrónicas en forma de virus, troyanos, Keyloggers, spyware, etc(de los cuales hablaremos a fondo al igual que todo lo que reseñamos en esta primera entrega ) que puede afectar a nuestros sistemas. Nos referimos al «Malware», una palabra que viene de la combinación de otras dos inglesas «malicious software», (programa o software malicioso).

Nuestro mayor problema es que ese software malicioso cada vez actúa en más frentes y escenarios, por lo que tendremos que extremar   las precauciones casi en el 100 % de las ocasiones en la que estamos usando un ordenador.

Esta afirmación puede ser considerada como un tanto paranoide, cierto, no lo vamos a negar, pero el número de servicios de los que  diariamente hacemos uso vía web es cada vez mayor y por lo tanto,  las posibles brechas de seguridad aumentan.

No hace tanto, mantener un sistema protegido contra  amenazas externas, era una tarea relativamente fácil, hoy en día y sin darnos cuenta, estamos caminando virtualmente en un campo minado, sólo es cuestión de ver cuanto tiempo tardas en pisar esa mina, si no cuidas tus pasos te puede acabar explotando, es cuestión de tiempo…

Lo importante es que si llega ese momento, podamos recuperarnos del desastre informático lo antes posible y con la mínima pérdida de datos. Este curso tratará principalmente de cómo ponérselo difícil al malware en todas su variantes y que tardes en caer en sus oscuras  redes.

¿A qué nos enfrentamos?

A toda una industria de destrucción masiva informáticamente hablando. Son tantos frentes que hacer una lista ahora mismo al completo, sólo serviría para confundirte pero…

Puede que intenten engañarte a través del correo electrónico, unas veces se harán pasar por tu banco e intentarán conseguir tus datos de   conexión, otras veces querrán que abras un fichero adjunto que, bajo la inofensiva apariencia de ser una presentación de Powerpoint, puede esconder un virus que dañe tu sistema o un troyano con el que serás controlado remotamente, en silencio…

Pero siempre estará ahí, aunque a algunos les parezca increible, el Spam, correo basura o no solicitado, sigue siendo un negocio rentable y cuanto más envian, más posibilidades hay de que » compres »  o caigas en la trampa.

En otras ocasiones será tu antivirus el que pueda ser atacado, si, los antivirus no dejan de ser programas que son susceptibles a poder ser bloqueados o controlados por el malware, también intentarán engañar a tu firewall o cortafuegos para dejar alguna puerta abierta en tu equipo por la que poder entrar y salir a sus anchas o recibir y enviar información a terceros.

Otro día puede ser en tu messenger u otro de tus programas de mensajería instantánea, no es extraño ver como de pronto se abre una ventana de tus contactos que te saluda, con un mensaje aparentemente normal en el que te invita a ver una foto en un enlace externo que en realidad es un sitio web malicioso especialmente manipulado para comprometer su equipo…

Podrás cruzarte con toda esa basura electrónica navegando tranquilamente, quizás ese anuncio en el que te lo ponen todo tan de color de   rosa sea otra cosa después de haber pinchado para verlo, puede que ese programa que te has descargado o esa película que tienes   tantas ganas de ver y que por fin la encuentras, sea de las que no acaben bien…

El malware se siente cómodo en las redes P2P (de intercambio de ficheros) y en programas como Emule y similares sabe moverse bien. Le gusta mezclarse con la música que está más de moda y algunos torrent llegan «con sorpresa» incluida.

Puede que tu mismo sin saberlo te conviertas en una máquina al servicio de esa industria y que tu equipo acabe siendo parte de una red de «zombies» controlado remotamente y usado como vía de ataque hacia otros usuarios o sitios web.

A veces, el simple uso de una aparentemente inofensiva red Wi-fi (inalámbrica) abierta o mal configurada, puede ser un vector de ataque mediante un sniffer o herramientas de análisis y captura de tráfico en una red. Puede servir también de ejemplo el uso del protocolo de transferencia de ficheros (FTP) en redes inseguras, unas redes por la que si tus datos no «viajan» con las capas de cifrado adecuadas, (SSL, SFTP,etc), pueden ser capturados y verse por terceros…

¿ Pero… Siempre me enfrento a máquinas o programas?

No, realmente y por mucho que a algunos Matrix nos haya dejado huella, (tampoco tenemos que dramatizar-;), detrás ese malware están las personas, unos con profundos conocimientos informáticos y de como responde el ser humano ante ciertas situaciones y otros con poca idea de casi nada y muchas ganas de aguarnos la fiesta a todos con un denominador común, se dedican a crear, fomentar y distribuir ese malware (software malicioso) contra el que nos enfrentamos diariamente.

El problema se acrecenta cuando detrás de todo eso, se empiezan a mezclar intereses empresariales. Es un gran negocio saber cuales son tus hábitos de vida, gustos, preferencias de compra, etc, para luego bom.ardearte con publicidad masiva, previa recopilación de datos del usuario.

Luego pueden estar los ataques que más daño te pueden hacer, se trata de los que van dirigidos concretamente hacia el usuario, ataques donde se mezclan motivos personales y/o profesionales y el objetivo puede ser desde intentar acceder a tu correo electrónico, robarte tu cuenta de servicios como MSN, Facebook, flickr, Tuenti, etc, etc o en otro extremo, a través de un ataque hacia el usuario, acabar comprometiendo la seguridad de tu web, blog o servidor.

¿Me enfrento también a mi mismo?

Si, definitivamente, además del malware y las consecuencias que tiene en nuestra vida electrónica y la integridad de nuestros datos,   hablando de seguridad informática, nuestra preparación y previsión ante un desastre informático es vital además de un estado de alerta cuasi-permanente.

Tenemos que enfrentarnos a la pereza que da dedicarse a hacer copias de seguridad para paliar los efectos de borrados y pérdidas de datos accidentales, en ocasiones podrás solventarlo con herramientas de recuperación, pero habrá información que no se pueda restaurar.

Esa pereza a la que aludía antes, puede llevarnos a pagar un precio muy alto si además de no usar contraseñas con la robustez necesaria, no son cambiadas frecuentemente y se usa la misma para todos los servicios.

Debemos preocuparnos de tener todo el software que usemos actualizado, tanto el propio sistema operativo con los parches que provee el fabricante, como el resto de aplicaciones siendo algunas más importantes en estas pautas que las demás (cliente de correo, navegador, antivirus, antispyware, antitroyanos, firewall) pero sin usar versiones obsoletas o vulnerables de ningún programa.

También una mala configuración o instalación del sistema operativo o del tipo de cuenta que estés usando, es un riesgo potencial, pero no sólo del S.O, sino de ciertas aplicaciones en las cuales el activar o no una opción determinada, puede marcar la diferencia a favor o en contra…

En Daboweb regularmente venimos reseñando riesgos potenciales de seguridad para los sistemas operativos y aplicaciones, no te olvides de estar al tanto.

Nos enfrentamos también al exceso de confianza, a ser víctimas de todo tipo de ataques a través de la ingeniería social o el conocimiento de datos sensibles de tu persona que en un momento dado, pueden ser utilizados en tu contra, ese exceso de confianza puede que haga que subestimes al  atacante o cr..ker (no confundir con hacker) que está esperando el más mínimo fallo para entrar en acción…

¿Cómo puedo protegerme de todo esto?

Desde esta nueva sección dedicada a los que empiezan hablando de seguridad, iremos dándote las pautas necesarias para ayudarte en la labor de mantenerte a salvo de estos peligros que permanentemente acechan a tu sistema. También iremos paso a paso intentando explicarte las medidas a poner en práctica para que todo eso no ocurra y a cambiar tu forma de pensar respecto a los problemas de seguridad que a lo largo de tu vida informática te irás encontrando.

Si en el peor de los casos, algo de lo que hemos comentado llega a pasarte, en esta sección, aprenderás también a recuperar la estabilidad de tu sistema o datos y paliar en parte los daños causados en el mismo.

También aprovecho para indicaros que nos importa más que entendáis los conceptos generales y particulares de los diferentes escenarios y situaciones que vamos a cubrir que sigáis a rajatabla el contenido del típico tutorial de configuración del antivirus de turno.

Esa información, cuando pasa el tiempo, aún siendo válida puede quedar obsoleta, en cambio, si cogéis bien el concepto, entenderéis mejor el por qué de las cosas y que hábitos de seguridad tenéis que llevar a cabo.

Entradas publicadas de Seguridad Básica:

• Seguridad básica para los que empiezan.

• ¿A qué nos enfrentamos?.

• Las contraseñas.

• La pregunta secreta.

• Analiza siempre tus descargas con el antivirus.

• Utiliza cuentas de usuario limitadas.

• Enlaces cortos, como crearlos, precauciones.

Los afortunados usuarios del navegador open source Firefox están de enhorabuena, ya que según leemos en la red, está disponible para descarga y testeo de su gran comunidad la nueva versión en pruebas de este fantástico navegador, claro rival y opción mas que aconsejable a Interner Explorer y otros navegadores propietarios. Además desde el proyecto Mozilla se ha hecho público que irán apareciendo nuevas versiones beta cada dos o tres semanas, con lo que se esperan unos dias moviditos dentro del desarrollo de Mozilla Firefox.

En esta versión encontraremos principalmente cambios en el aspecto del mismo, aunque ya se ha advertido a la comunidad de usuarios que al tratarse de una beta, es posible que el resultado final a ver en la entrega estable y definitiva no sea el mismo, pero eso si, desde la fundación Mozilla se avisa que determinados cambios visuales solo estarán disponibles de momento para la versión de Windows 7 y Vista, con lo que los usuarios de Mac y Linux tendrán que esperar un poco para tenerlos. También se han hecho trabajos de perfeccionamiento en los add-ons y dado solución a diversos fallos de estabilidad y privacidad encontrados. En este enlace podéis descargaros Firefox 4 (versión en inglés) y en este otro encontraréis mas información acerca de este lanzamiento. A disfrutarlo.

Parte 1 | Parte 2 | Parte 3 | Parte4 | Parte 5 | Parte 6 | Parte 7 | Parte 8 | Parte 9 / 1 | Parte 9 / 2

Hola a todos. Soy Alfon, más sobre mí en mi Blog: http://seguridadyredes.nireblog.com/. Esta va a ser mi primera colaboración en este gran sitio que es Daboweb. Mis áreas de interés, que serán en las que centre mis colaboraciones, son todo lo concerniente a Snort, Wireshark. Análisis tráfico de redes y forense, IDS, Scapy, Nmap, Antisniffers, etc. Espero que sea de vuestro interés. Gracias a todo el equipo de Daboweb por darme la oportunidad de coloborar en el sitio.

Para interpretar y correlacionar una captura realizada en un determinado sniffer, disponemos, en los diferentes programas de captura de paquetes, de una serie de herramientas que facilitan esta labor. No es siempre totalmente necesario, pero si es una ayuda a la hora de extraer información, evidencias forenses, o cualquier tipo de dato que necesitemos de una forma más rápida, sencilla y, en algunos casos, más visual, sobre todo cuando se trata de grandes archivos de captura.

Antes de seguir. ¿Qué es una captura de red ?. Una captura de red no es otra cosa que la recolección de los paquetes transmitidos y recibidos en la red por hosts o dispositivos que se encuentran en una red local. Para esta función, el dispositivo de red o tarjeta de red debe estar configurada en modo promíscuo.

De esta forma no se descartan las tramas de red no destinada a la MAC en la cual se encuentra el software capturador de red o sniffer y, de esta forma, se puede «ver» todo el tráfico que circula por la red. Esto es así en una red no conmutada o, dicho de forma más sencilla, una red mediante hubs.

Si la red está formada por switches, el poner la tarjeta de red en modo promíscuo solo nos serivirá para «ver» nuestro tráfico (unicast) y el tráfico broadcast. Sobre la posición de un capturador de red o sniffer, dependiendo de la arquitectura o topología de red, tenemos más información en este enlace de mi blog personal.

Si realizamos una captura con TCPDump ó WinDump para sistemas Windows, la salida que obtendremos será algo parecido a esto:

>windump -i1 -tn tcp
windump: listening on \Device\NPF_{024A36DD-4864-4F08-918F-2C5CBA916541}
IP 192.168.1.5.2335 > 63.245.217.36.80: S 4142637947:4142637947(0) win 64512 <ms
s 1460,nop,nop,sackOK>
IP 63.245.217.36.80 > 192.168.1.5.2335: S 1131876005:1131876005(0) ack 414263794
8 win 65535 <mss 1460,nop,nop,sackOK>
IP 192.168.1.5.2335 > 63.245.217.36.80: . ack 1 win 64512
IP 192.168.1.5.2335 > 63.245.217.36.80: P 1:581(580) ack 1 win 64512
IP 63.245.217.36.80 > 192.168.1.5.2335: . ack 581 win 64955
IP 192.168.1.5.2337 > 209.85.227.147.80: S 1497586508:1497586508(0) win 64512 <m
ss 1460,nop,nop,sackOK>
IP 63.245.217.36.80 > 192.168.1.5.2335: P 1:487(486) ack 581 win 64955
IP 209.85.227.147.80 > 192.168.1.5.2337: S 1076404124:1076404124(0) ack 14975865
09 win 65535 <mss 1460,nop,nop,sackOK>
IP 192.168.1.5.2337 > 209.85.227.147.80: . ack 1 win 64512
IP 192.168.1.5.2337 > 209.85.227.147.80: P 1:626(625) ack 1 win 64512
IP 192.168.1.5.2341 > 208.122.31.3.80: S 3188780077:3188780077(0) win 64512 <mss
 1460,nop,nop,sackOK>
IP 209.85.227.147.80 > 192.168.1.5.2337: P 1:237(236) ack 626 win 64910
IP 209.85.227.147.80 > 192.168.1.5.2337: . 237:1697(1460) ack 626 win 64910
IP 209.85.227.147.80 > 192.168.1.5.2337: P 1697:2048(351) ack 626 win 64910
IP 192.168.1.5.2337 > 209.85.227.147.80: . ack 2048 win 64512

De esta captura podemos extraer algunos datos. Solo tenemos tres IP involucradas. Obtenemos las IP, puertos, banderas o flags, números de secuencia, acuse de recibo, tamaño de ventana,… También vemos un establecimiento de conexión a tres pasos, etc.

Pero si se trata de una captura con decenas de IPs, varios protocolos, etc. La interpretación de los datos y su correlación se hace más compleja. Solo disponemos de la gestión de filtros para obtener una información algo más detallada según los propósitos y objetivos de la captura, pero poco más, nosotros tendremos que interpretar los datos, que está pasando o qué problema tenemos en nuestra red analizando la secuencia de los paquetes .

Otros programas como Tshark, incluyen, además de filtros, diferentes tipos de estadísticas. De esta forma, tenemos una ayuda a la interpretación de la captura que nos permite obtener una información partiendo de un fichero de captura .pcap o una captura normal. Las estadísticas nos informarán del uso de la red, protocolos involucrados en las capturas y estádisticas de uso, comunicaciones entre hosts, etc.

Además podemos aplicar filtros a las estadísticas de tal forma que la información obtenida por ellas es altamente personalizable y flexible.

Un ejemplo de estadísticas con Tshark.

Si ejecutamos tshark -i1 -nqzio,stat,1,ip,tcp,icmp,»tcp.port == 80″ el resultado es:

>tshark -i1 -nqzio,stat,1,ip,tcp,icmp,"tcp.port == 80"

Capturing on 3Com EtherLink PCI (Microsoft's Packet Scheduler)
252 packets captured

===================================================================
IO Statistics
Interval: 1.000 secs
Column #0: ip
Column #1: tcp
Column #2: icmp
Column #3: tcp.port == 80
                |   Column #0    |   Column #1    |   Column #2    |   Column #3
Time            |frames|  bytes  |frames|  bytes  |frames|  bytes  |frames|  bytes
000.000-001.000       4       285      3       193      0         0      0         0
001.000-002.000       2       184      0         0      0         0      0         0
002.000-003.000       1        92      0         0      0         0      0         0
003.000-004.000       1        92      0         0      0         0      0         0
004.000-005.000       0         0      0         0      0         0      0         0
005.000-006.000       0         0      0         0      0         0      0         0
006.000-007.000       0         0      0         0      0         0      0         0
007.000-008.000       0         0      0         0      0         0      0         0
008.000-009.000       0         0      0         0      0         0      0         0
009.000-010.000      17      2299     15      2115      0         0     15      2115
010.000-011.000     142     38665    141     38573      0         0    141     38573
011.000-012.000      37      8062     36      7970      0         0     36      7970
012.000-013.000       2       184      0         0      0         0      0         0
013.000-014.000      15       890     14       798      0         0     14       798
014.000-015.000       9       548      8       456      0         0      8       456
015.000-016.000       3       240      0         0      2       148      0         0
016.000-017.000       2       148      0         0      2       148      0         0
017.000-018.000       2       148      0         0      2       148      0         0
018.000-019.000       2       148      0         0      2       148      0         0
019.000-020.000       0         0      0         0      0         0      0         0
020.000-021.000       1        92      0         0      0         0      0         0
===================================================================

Como veis, podemos establecer estadísticas por protocolos y por aplicación de filtros. Todo ello ordenado por columnas que nos mostrarán información sobre número de paquetes y bytes.

Si seguimos complicando la cosa, Wireshark (aquí para descargar) por ejemplo, contempla dos tipos de filtros: de captura y de visualización. Una vez filtrados los paquetes, Wireshark dispone de varias herramientas para interpretar y analizar el resultado de las capturas  como Expert Infos y Expert Info Composite, Follow TCP Stream, IO Graph, Geolocalización, varios tipos de estadísticas, etc.

En otro nivel, disponemos de Xplico. Con esta herramienta podemos abrir una fichero de captura .pcap y tener ordenado y clasificado el tráfico por categorías tales como Web, Mail, VoIp, Chat, Imágenes, videos, Geolocalización con Google Earth…. incluso decodificar tráfico teniendo en cuenta las aplicaciones tales como programas de mensajería, Telnet, Facebook, etc.

Abajo. Interface de Xplico.

En el último nivel podemos situar un tipo de software como NetWitness Investigator. Netwitness posee una gran capacidad de captura de paquetes, con lo que necesita también, un buen soporte de almacenamiento y procesamiento.

Además, podemos importar nuestros ficheros .pcap generados mediante TCPDump, Windump, Tshark, Wireshark, etc. Pero la característica más importante de esta herramienta es su altísima capacidad de análisis de los datos obtenidos, correlación, clasificación, rapidez de análisis, interpretación visual e intuitiva de datos compaginado con la muestra de datos en bruto, contenido de los paquetes diferenciando los campos y cabeceras. Es capaz también de analizar los datos por sesiones.

Podemos incluso interpretar los datos dentro del contexto, dentro de una lógica. De esta forma, se convierte un una herramienta de análisis forenses con capacidad de  descubrimiento de amenazas, malware, fugas de información, investigación forense y otros aspectos dentro de un ambiente corporativo.

Otro tipo de ayuda para la interpretación del tráfico de red es la del tipo visual, es decir, las gráficas. De esta forma podemos representar mediante gráficas, de varios tipos, las relaciones y diálogos entre host, puerto, etc. Otra variante de este tipo de herramietnas puede ser la representación grafíca, no ya de los host, sino de los paquetes y los atos de campos contenidos en ellos. dos herramietnas de este tipo que veremos serán AfterGlow y TNV.

Hasta aquí un resumen del objetivo y de lo que será esta serie de artículos dedicado a las herramientas y ayudas a la interpretación de capturas de red. Iremos mostrando de que forma podemos interpretar los datos usando las herramientas que nos proporcionan, a distintos niveles: WinDump / TCPDump, Wireshark, Xplico y NetWitness.

Maty nos trae esta vez sus filtros nauscópicos para Google Chrome, para lo cual necesitaremos la extensión AdBlock para este navegador y agregar la lista Spanish filters.

Es necesaria tambié la extensión Stylish para el funcionamiento del fichero ad_blocking.css, la instalación del estilo ahora mismo hay que hacerla manualmente hasta que esté disponible la suscripción directa (puede tardar un par de días).

Noticia original en Nauscopio | Qué son los filtros nauscópicos.

Muchas gracias Maty como siempre por tu tiempo para mejorar la seguridad del usuario durante la navegación.

Aquellos que esten interesados en asistir la septima edición de la Guadec-Hispana, la versión hispana de la «Conferencia Europea de Desarrolladores y Usuarios de GNOME», que se celebrará en la Facultad de Informática de La Coruña del 22 al 23 de julio de 2010, pueden proceder a su inscripción en la misma, la cual estará abierta hasta el próximo 18 de Julio, siendo obligatorio este trámite debido a las exigencias del aforo. Recordemos que este evento es totalmente gratuito.

Los asistentes podrán disfrutar de toda una serie de charlas y talleres relacionados con el entorno de escritorio Gnome, uno de los mas usados por la comunidad linuxera junto con KDE, en los que podremos ver las principales novedades que traerán futuras versiones del mismo, sobre todo en entornos táctiles como teléfonos móviles y otros dispositivos multimedia. Especial atención habrá que prestar a la opinión de la comunidad de usuarios sobre estos avances, la cual puede participar con sus aportaciones y preguntas en las distintas conferencias que se van a realizar en esta edición de la Guadec-Hispana. En este enlace tenéis a vuestra disposición el programa completo de actividades.

En este mismo mes dará comienzo la versión europea de la GUADEC, a celebrar en La Haya (Países Bajos) del 26 al 30 de julio, donde desarrolladores y usuarios de toda Europa se reunirán con Gnome como punto de encuentro y debate.  Si también estais interesados en asistir a este evento a nivel europeo, os dejamos este otro link en el podréis registraros. Gnome continua teniendo un movimiento que lo ha llevado a ser uno de los proyectos mas grandes dentro del software libre.

Según leemos en PlanetaiOS, en estos momentos se están reportando múltiples problemas de usuarios con sus cuentas de App Store, se habla de compras no hechas por ellos, algunas con importes de hasta 300 €.

Aún no hay confirmación por parte de Apple acerca de esta noticia, pero se están viendo cambios al alza nada lógicos en rankings de aplicaciones como la de libros.

Ante la duda, el mejor consejo que os podemos dar, es que, hasta que esto se aclare, cambiéis el password de vuestra cuenta de la App Store, comprobéis que no haya ninguna compra hecha en vuestro nombre y sobre todo, eliminad el número de vuestra tarjeta de crédito, recordad que hay que borrarlo entero, no los últimos 4 números.

Más info Engadget.