Recopilar automáticamente información de una red.

ScoutBot

ScoutBot es una aplicación ideal para realizar test de penetración de manera que la recopilación de información en la red se haga de forma fácil y discreta. Construido para Raspberry Pi (un pequeño ordenador con la arquitectura ARM, con sistema operativo embebido), este potente script automatiza las tareas de Footprinting, utilizando tres herramientas esenciales para esta técnica: Nmap, SNMPCheck y Wireshark.

En pocos segundo es capaz de recoger la siguiente información:

• Un inventario completo de la red.
• Detección de dispositivos con SNMP.
• Servidores DHCP y alcance.
• Dirección IP exterior.
• Capturas de paquetes.
• Informe filtrado de tráfico hacia la WWW.
• Identifica el ISP utilizado por la red.
• Realiza un traceroute hacia el exterior.
• Chequea el estado del filtrado de salida.
• Identifica los protocolos de enrutamiento dinámico.

Instrucciones de instalación y configuración:

 ScoutBot está diseñado para la Raspberry Pi (modelo B) y viene como un archivo de imagen *.img pre-configurado. Solo hay que seguir estos cinco sencillos pasos:

1.Descargar el archivo ScoutBot.IMG.
2.Montar la tarjeta SD Clase 10 de 16 Gb como mínimo.
3.Escribir el archivo IMG en la tarjeta SD.
4.Extraer la tarjeta SD e insertarla en el Raspberry Pi.
5.ScoutBot debería arrancar automáticamente en el script de configuración.

ScoutBot se puede configurar en tres modos diferentes de trabajo:

• Realizar Scan:
  Realiza un escaneo rápido de la red e intenta enumerar cualquier dispositivo conectado a la red. Recopilará información como: los dispositivos en línea, entornos Windows, servidores DHCP, el estado del filtrado de salida, la dirección IP externa, los protocolos de enrutamiento dinámico... Esta información se compila en archivos separados y se genera un informe para cada objetivo.
   
• Realizar captura de paquetes:
  ScoutBot también tiene la capacidad de realizar una captura de paquetes de la red. Esta característica es muy útil cuando se necesita un poco de información con el fin de realizar una exploración completa. ScoutBot escucha en modo promiscuo la red por un periodo de tiempo predeterminado y luego se apaga.
   
• Recuperar resultados del escaneo:
  Una vez terminada la exploración para recuperar los resultados del análisis, simplemente eligiendo este modo en la configuración, arranca un servidor FTP en una dirección IP predeterminada.

Más información y descarga de ScoutBot:
http://lansec.net/project/scoutbot/

Añadir elementos de enrutamiento y firewall.


Existen dos sistemas ideales para convertir una Raspberry Pi en un router/firewall: ThalOS y raspenwrt (una adaptación de openWRT para Raspberry Pi).

ThalOS

ThalOS, es un sistema operativo completo basado en la distribución Raspbian hardfp, para la plataforma Raspberry Pi. El objetivo de ThalOS es ser un sistema extremadamente pequeño y seguro para el uso de Raspberry Pi como un router/firewall. Todo el sistema ocupa sobre 500 MB y es básicamente una instalación raspbian debootstrapped con: configuraciones especiales de raspbian, alguna configuración personalizada y un kernel modificado.

ThalOS es seguro gracias a las siguientes medidas:

• El kernel no tiene capacidad para cargar módulos. Esto es para evitar la inyección de código en el núcleo, por un atacante en el caso de que el sistema haya sido comprometido. Todos los accesos a la /dev/mem* han sido desactivado, junto con el apoyo de perfiles del núcleo. Para asegurarse de que incluso, si el sistema se ve comprometido, por lo menos el núcleo permanecerá seguro y impedirá brechas de seguridad como la adición de rootkits.
• Thalos aprovecha las nuevas características de protección de pila en Linux 3.15, LXC es completamente compatible para permitir el aislamiento de los procesos y sistemas de archivos VFAT que se ha eliminado. La razón para eliminar el soporte para el sistema de archivos VFAT es no permitir el montaje de la partición /boot (que es de tipo VFAT). Esto impide que alguien de sobrescribir la imagen del núcleo, mientras que el sistema está funcionando.
• Todos los archivos y directorios tienen deshabilitado su SUID/SGID. Esto puede parecer una controversia, pero en un sistema que sólo se utilizará como un router/firewall no hay necesidad de que estos bits estén presentes. Como tal, se quita otro pequeño potencial de vector de ataque.

Más información y descarga de ThalOS:
https://github.com/headsson/ThalOS/tree/master

Raspenwrt

Raspenwrt es una adaptación de OpenWRT para Raspberry Pi. OpenWrt es una distribución GNU/Linux altamente extensible para dispositivos embebidos (típicamente routers inalámbricos). A diferencia de muchas otras distribuciones, OpenWrt es construido desde cero para ser un sistema operativo con todas las funciones, fácilmente modificable. En la práctica, esto significa que puede tener todas las características que posee un firmware de un router, impulsado por un núcleo Linux. OpenWrt utiliza principalmente una interfaz de línea de comando, pero también dispone de una interfaz WEB.

 Posee características implementadas que no tienen muchos otros fabricantes de dispositivos comerciales, tales como QoS, VPN y otras características que dotan a OpenWrt de ser un dispositivo de red, realmente potente y versátil, no sólo para utilizarlos como routers, sino como: servidores de archivo, nodos P2P, servidores de WEBcams, firewall o puertas de acceso VPN.

Más información y descarga de Raspenwrt:
http://sourceforge.net/projects/raspenwrt/

Detección de vulnerabilidades y emulación mediante honeypot.


La detección de vulnerabilidades se realizara mediante OpenVAS y el honeypot será  el proyecto Honeeepi.

OpenVAS

OpenVAS, consiste en una imagen para Raspberry Pi en la que corre el sistema OpenVAS 7. OpenVAS es un sistema centralizado para la detección de vulnerabilidades de red y software. Con esta herramienta se puede comprobar si el software de los sistemas que componen la red esta actualizado y tener informes detallados. El motor de OpenVAS es un desarrollo bifurcado de Nessus.

OpenVAS tiene dos componentes servidor y cliente:

OpenVAS Servidor

Es un explorador de vulnerabilidades de red, que recoge informes y test de la herramienta cliente. Utiliza un protocolo de comunicación seguro para conectar con el cliente para: configurar, ejecutar una exploración y finalmente recibir los resultados para generar un informe. Las pruebas se ejecutan bajo plugins que necesitan ser puestos al día, para cubrir problemas de seguridad identificados recientemente.

El servidor de OpenVAS es un desarrollo bifurcado de Nessus 2.2. La bifurcación sucedió porque el desarrollo principal (Nessus 3) cambio a un modelo de licencia propietario y el desarrollo de Nessus 2.2.x está prácticamente cerrado para los contribuidores. OpenVAS continúa como software libre, bajo licencia GNU, con un estilo transparente y abierto al desarrollo. Y funciona en las distribuciones: Debian, Gentoo, OpenSUSE, RHEL, CentOS y Fedora.

El proyecto de OpenVAS ofrece unas actualizaciones públicas de las pruebas de la vulnerabilidad de red (NVTs). La actualización contiene todos los plugins de NASL disponibles en el depósito del código fuente de OpenVAS y ahora contiene cerca de 5000 plugins. Estas actualizaciones están configuradas por defecto para el servidor de OpenVAS.

OpenVAS Cliente

El OpenVAS-Cliente es un terminal cliente para OpenVAS y Nessus. Aplica el protocolo de la transferencia de Nessus (NTP). El GUI se ejecuta usando GTK+ 2.4 y realiza sesiones de exploración de vulnerabilidades de red. El OpenVAS-Cliente es un sucesor de NessusClient 1.X. La bifurcación sucedió porque los autores originales de NessusClient decidieron lanzarlo como software propietario. Disponible en las plataformas: Debian, Ubuntu, Gentoo, OpenSUSE, RHEL, CentOS, Fedora y Windows.

• Más información y descarga de imagen OpenVAS 7 para Raspberry Pi: http://sourceforge.net/projects/openvasvm/?source=navbar
• Más información y descarga de OpenVAS:http://www.openvas.org/index.html
• Acerca de OpenVAS Cliente: http://www.openvas.org/openvas-client.html
• Acerca de OpenVAS Servidor: http://www.openvas.org/openvas-server.html

Honeeepi

Honeeepi, un sistema operativo OS Raspbian personalizado con: Honeypots, herramientas de monitorización de red y captura de paquetes, para su posterior análisis. Y todo esto bajo las plataformas hardware Raspberry Pi B y B+.

El proyecto Honeeepi se compone de las siguientes herramientas:

• Conpot es un Honeypot interactivo para simular sistemas y elementos SCADA fácil de implementar, modificar y ampliar. Proporciona una gran gama protocolos de control industrial comunes. Es capaz de emular infraestructuras complejas para convencer a un adversario que acaba de encontrar un enorme complejo industrial.
• Dionaea es un Honeypot desarrollado para atrapar malware que aprovecha las vulnerabilidades expuestas por los servicios de red.
• Glastopf es un Honeypot que emula miles de vulnerabilidades para recopilar datos de ataques dirigidos a las aplicaciones Web.
• Kippo es un Honeypot de interacción en SSH  diseñado para registrar ataques de fuerza bruta y, lo más importante, toda la interacción cáscara realizado por el atacante.
• Snort es un sniffer de paquetes y un detector de intrusos basado en red.
• Ntop es una herramienta que permite monitorizar en tiempo real una red.
• Captura de paquetes remoto (rpcap), es un demonio que proporciona captura de tráfico remoto para posterior análisis con Wireshark.

Instalación:

El proceso de instalación es similar a las imágenes comunes para Raspberry Pi (por ejemplo Raspbian, OpenELEC).

1. Escribir la imagen Honeeepi en la tarjeta SD (se recomienda mínimo 4Gb, pero lo ideal serian 32Gb). 

sudo dd bs=2M if=honeeepi-201501.img of=/dev/sdb 

2. Insertar la tarjeta SD en la Raspberry Pi. Alimentar el equipo y conecte a la red cableada. La imagen Honeeepi se inicia con "dhcpd" y "sshd 'por defecto;

3. Una vez que localizada la dirección de red Honeeepi, se accede por SSH (puerto TCP / 22). 

Usuario: pi 

Contraseña: honeeepi

4. Configurar con una herramienta de configuración del software Raspberry Pi ofrece diversas funciones de configuración. Por ejemplo, después de la instalación, la utilizamos para expandir el sistema de archivos a toda la tarjeta SD (espacio de 32 GB) para el uso Honeeepi.

raspi-config

5. Actualizar el software con:

apt-get update
apt-get upgrade

Configurar Honeypots y herramientas:

Conpot.

1. Iniciar sesión como usuario pi.
2. cd /honeeepi/conpot
3. Para iniciar para Siemens S7-200 (inicio como fondo)
4. sudo conpot --template default 
5. iniciar kamstrup_382 (medidor inteligente) (inicio segundo plano)
6. sudo conpot --template kamstrup_382 

Dionaea.

1. Iniciar sesión como usuario pi.
2. cd /honeeepi/dionaea-honeypot
3. sudo ./start.sh 
4. Para iniciar OS fingerprinting (segundo plano)
5. sudo ./start-p0f.sh 

Glastopf.

1. Iniciar sesión como pi
2. sudo glastopf-runner 

Kippo.

1. Editar su ssh a otro número de puerto.
2. sudo vi /etc/ssh/sshd_config
3. Editar puerto SSH a otro puerto de su elección. Cambiar el puerto por defecto 22 asegurarse de que no pisar otros servicios Honeypot.
4. reinicio SSH
5. sudo /etc/init.d/ssh restart
6. sudo su kippo
7. cd /honeeepi/kippo
8. ./start.sh

Ejecución de Supervisión de la red Ntop.

1. Iniciar sesión como usuario pi.
2. cd /opt/ntop-5.0.1
3. sudo ntop 
4. Al iniciar por primera vez le pedirá la contraseña de administrador de usuario. 
5. Ir al acceso del navegador, http://IP_direccion_de_honeeepi: 3000/.

Captura de paquetes remoto (rpcapd).

1. Iniciar sesión como usuario pi.
2. sudo passwd root
3. Poner contraseña de root.
4. cd /opt/rpcap
5. sudo start.sh
6. Configuración de captura remota utilizando Wireshark.

Más información y descarga de Honeeepi:
http://sourceforge.net/projects/honeeepi/

Fuentes:

https://gurudelainformatica.es/aplicaciones-de-seguridad-informatica-de-raspberry-pi

https://gurudelainformatica.es/monitorear-red-domestica-con-raspberry-pi