Instructor: Bien,
ahora veamos cómo podemos
usar Wireshark para descubrir actividades sospechosas en nuestra red.
Y antes de hacer algo, iré a
las preferencias, iré a
protocolos,
ARP, y habilitaré la
opción para detectar tormentas de solicitudes ARP.
Lo que esto hará realmente descubrirá,
si alguien está tratando de descubrir
todos los dispositivos en
la red y me dará una notificación.
Así que haré clic en OK,
y comenzaré mi captura, y
ahora iré a mi máquina Kali,
y usaré netdiscover.
Así que no voy a hacer envenenamiento por ARP.
Solo lo haré,
o intentaré descubrir todos los dispositivos conectados a mi red.
Así que estamos usando, estamos
usando exactamente el mismo comando que usamos antes, netdiscover, la interfaz y el rango.
Voy a presionar enter, y
podemos ver que el redescubrimiento finalizó.
Descubrió todos los dispositivos que tenemos.
Entonces, si
venimos aquí, incluso antes de mirar la salida de las notificaciones,
solo veamos los paquetes que se han generado.
Puedes ver que hay un dispositivo aquí.
Esta fuente está transmitiendo, por lo que básicamente
no tiene un destino.
Pregunta a todos los demás dispositivos de la red
y pregunta por cada IP posible.
¿Entonces básicamente se pregunta quién tiene esta IP?
Y decirle al 67 IP.
Y luego se pregunta quién tiene la IP 241.
Dile al 67.
¿Quién tiene el 251?
Dile al 67,
y está haciendo esto para cada IP posible.
Básicamente, se trata de
verificar si existe alguna IP posible en el rango y se solicita
devolver la respuesta a la IP
en 10. 20) 40) 67)
Entonces, de esto podemos deducir que alguien
está tratando de descubrir todos los dispositivos conectados y que alguien
está en 10. 20) 40) 67)
Ahora, si continuamos con el análisis y la información
de expertos, verá que detectamos una tormenta de paquetes ARP.
Básicamente, significa que había un solo dispositivo
que enviaba una gran cantidad de paquetes ARP.
Por lo tanto, probablemente estén intentando descubrir dispositivos conectados
o intentando descubrir puertos conectados.
Entonces nos dice que esta persona está
tratando de hacer algo sospechoso.
Ahora vámonos y haré un ataque de envenenamiento por ARP
y veremos si podemos recibir notificaciones o
advertencias en Wireshark.
Ahora voy a analizar e información de expertos nuevamente y, si
miramos, veremos que tenemos una advertencia aquí y
la advertencia
nos dice que hay una dirección IP duplicada configurada.
De nuevo, esto nos
dice que la dirección IP del
enrutador tenía dos direcciones MAC diferentes.
Lo que
esto significa básicamente significa que alguien estaba
manipulando esto y manipulando nuestra tabla
ARP, tratando de colocarse en el medio
usando un ataque de envenenamiento ARP.
Ahora hemos visto varios métodos para detectar el envenenamiento por ARP.
Analicemos cómo podemos
prevenirlo o protegernos de él.
Ahora solo voy a
ejecutar un ARPA y vamos a mirar nuestra mesa.
Hay interruptores que también supervisarán esto por usted y
le notificarán o
incluso evitarán ataques de envenenamiento por ARP.
Otra forma de hacerlo es si nos fijamos aquí.
Si observa su enrutador,
verá que esta entrada en la tabla es dinámica.
Entonces el tipo de esta entrada es dinámica.
Lo que eso significa, básicamente, esto no puede cambiar.
Es el sistema permite cambiar este valor.
Puede ver aquí que tiene valores estáticos,
lo que básicamente significa que el sistema nunca permitirá que
estos valores cambien.
Por lo tanto, puede usar tablas ARP
estáticas, lo que básicamente significa que tendrá que configurar
cada dirección IP.
Por lo tanto, debe configurar su tabla ARP y
asignar cada dirección IP a la dirección MAC,
a la dirección MAC relevante.
Pero una vez
que haga eso, incluso si alguien intenta enviar
una respuesta a su computadora para
intentar cambiarla, el sistema se negará a
cambiar cualquier cosa porque configuró su tabla ARP para que sea estática.
El único problema con eso es que cada vez que se
conecta a una red y cada vez
que hay un nuevo
dispositivo que se conecta a su red, tendrá
que configurarlo manualmente para que funcione con su red.
Por lo tanto, no es una solución muy útil si estás en
una gran empresa o si estás en una gran empresa.
Pero tal vez en una casa pequeña, o
en una pequeña empresa, esta sería
una muy buena solución para prevenir
los ataques de envenenamiento por ARP porque
todo será estático, tendrá que configurarlo manualmente, pero
cuando alguien intenta hacer un Ataque de envenenamiento por ARP,
incluso si su ataque
es exitoso y usan las mejores
herramientas que pueden, su mesa está configurada de una manera que está arreglada.
No se puede cambiar.
Por lo tanto, el sistema siempre se negará
a cambiar los valores de las direcciones MAC, lo
que básicamente significará que los ataques de envenenamiento por ARP nunca
funcionarán en su contra.