Seguridad Cibernética – Tipos de Enumeración

La enumeración es fundamentalmente verificación. Un atacante establece un funcionamiento asociado con el host objetivo. Luego, las debilidades se contabilizan y evalúan. Se realiza mayoritariamente para buscar agresiones y peligros al marco objetivo. La enumeración se utiliza para recopilar nombres de usuario, nombres de host, direcciones IP, contraseñas, arreglos, etc. Cuando se establece una conexión operativa con el host objetivo, los piratas informáticos supervisan el sistema objetivo. Luego toman información y datos personales. De vez en cuando, también se han descubierto agresores cambiando la configuración de los marcos objetivos. La forma en que se establece la conexión con el host decide la información o los datos a los que el atacante tendrá la opción de acceder.

tipos de enumeración

En esta sección, discutiremos los diversos tipos de enumeraciones.

1. Enumeración de NetBIOS (Sistema básico de entrada y salida de red): 

• El nombre de NetBIOS es una string excepcional de 16 caracteres ASCII que se utiliza para distinguir los dispositivos de la organización a través de TCP/IP, se utilizan 15 caracteres para el nombre del dispositivo y el decimosexto carácter se guarda para el tipo de registro de administración o nombre.
• Los programadores utilizan la enumeración de NetBIOS para obtener una lista de las PC que tienen un lugar con un dominio específico, una lista de las ofertas en los hosts individuales de la organización y estrategias y contraseñas.
• Microsoft no admite el objetivo de nombre de NetBIOS para la versión 6 del protocolo de Internet.
• La fase inicial en la especificación de un marco de trabajo de Windows es explotar la API de NetBIOS. Inicialmente era una interfaz de programación de aplicaciones (API) para la programación personalizada para llegar a los activos de LAN. Windows utiliza NetBIOS para compartir documentos e impresoras.
• Un pirata informático que encuentra un sistema operativo Windows con el puerto 139 abierto, puede verificar qué activos se pueden acceder o ver en el marco remoto. En cualquier caso, para contar los nombres de NetBIOS, el sistema remoto probablemente permitía compartir documentos e impresoras. Este tipo de enumeración puede capacitar al programador para leer o mantenerse en contacto con el marco de la PC remota, dependiendo de la accesibilidad de las ofertas, o enviar un DoS.
• Lista de nombres NetBIOS:

Nombre	Código NetBIOS	Escribe
<nombre de host>	<00>	ÚNICO
<dominio>	<00>	GRUPO
<nombre de host>	<03>	ÚNICO
<nombre de usuario>	<03>	ÚNICO
<nombre de host>	<20>	ÚNICO
<dominio>	<1D>	GRUPO
<dominio>	<1B>	ÚNICO

• Utilidad Nbtstat: en Windows, muestra información de la convención NetBIOS sobre TCP/IP (NetBT), tablas de nombres NetBIOS para las PC cercanas y remotas, y la reserva de nombres NetBIOS. Esta utilidad permite resucitar la caché de nombres de NetBIOS y los nombres seleccionados con el Servicio de nombres de Internet de Windows. La estructura de la oración para Nbtstat:

nbtstat [-a RemoteName] [-A IPAddress] [-c] [-n] [-r] [-R] [-RR] [-s] [-S] [Interval]

La tabla que aparece debajo muestra diferentes límites de Nbtstat:

Parámetros
-a NombreRemoto
-Una dirección IP
-C
-norte
-r
-RR
-s
-S
Intervalo

2. Enumeración SNMP (Protocolo simple de administración de red): 

• La enumeración SNMP es un ciclo de especificación de registros y dispositivos de usuarios en un marco objetivo que utiliza SNMP. SNMP está compuesto por un administrador y un especialista; Los especialistas se insertan en cada dispositivo de la organización y el canal se instala en una PC diferente.
• SNMP tiene dos contraseñas para acceder y designar al especialista SNMP desde la estación de administración. Read Community String es público, por supuesto; permite la revisión de la configuración del dispositivo/marco. La string de grupo de personas de lectura/escritura es privada, por supuesto; permite la modificación lejana del arreglo.
• Los piratas informáticos utilizan estas strings de red predeterminadas para eliminar datos sobre un dispositivo. Los piratas informáticos enumeran SNMP para eliminar datos sobre los activos de la organización, como puertos, conmutadores, dispositivos, recursos compartidos, etc., y datos de red, como tablas ARP, tablas de dirección, tráfico, etc.
• SNMP utiliza ingeniería dispersa que contiene agentes, administradores y algunas partes relacionadas de SNMP. Los pedidos relacionados con SNMP incluyen: GetRequest, GetNextRequest, GetResponse, SetRequest, Trap.

A continuación se muestra la comunicación entre el agente SNMP y el administrador:

• Las herramientas de enumeración de SNMP se utilizan para examinar una sola dirección IP o un conjunto de direcciones IP de dispositivos de la organización habilitados para SNMP para detectar, analizar e investigar los riesgos de seguridad. Los casos de este tipo de herramientas incluyen NetScanTolls Pro, SoftPerfect Network Scanner, SNMP Informant, etc.

3. Enumeración LDAP:

• El Protocolo ligero de acceso a directorios es un protocolo de Internet para acceder a administraciones de registro dispersas.
• Las administraciones de registro pueden proporcionar cualquier disposición coordinada de registros, regularmente en una estructura jerárquica y sensible, por ejemplo, un índice de correo electrónico corporativo.
• Un cliente inicia una reunión LDAP asociándose con un agente del sistema de directorio en el puerto TCP 389 y luego envía una solicitud de actividad al DSA.
• Los datos se envían entre el cliente y el trabajador utilizando reglas de codificación básicas.
• El programador consulta a la administración de LDAP para recopilar información, como nombres de usuario sustanciales, direcciones, sutilezas de divisiones, etc., que también se pueden usar para realizar ataques.
• Existen numerosos dispositivos de enumeración LDAP que acceden a las publicaciones de registro dentro de Active Directory u otras administraciones de catálogo. Utilizando estos dispositivos, los agresores pueden identificar información, por ejemplo, nombres de usuario importantes, direcciones, sutilezas de divisiones, etc. de varios trabajadores de LDAP.
• Ejemplos de este tipo de herramientas incluyen la herramienta de administración de LDAP, el explorador de Active Directory, la administración de LDAP, etc.

4. Enumeración NTP:

• Network Time Protocol está destinado a sincronizar los relojes de las PC dispuestas.
• Utiliza el puerto UDP 123 como su método esencial para la correspondencia.
• NTP puede verificar el tiempo dentro de 10 milisegundos (1/100 segundos) en la web pública.
• Puede lograr una corrección de 200 microsegundos o más en un vecindario en condiciones ideales.
• Los ejecutivos regularmente ignoran al trabajador de NTP con respecto a la seguridad. Sea como fuere, siempre que se le cuestione adecuadamente, puede dar datos importantes de la organización a los programadores.
• Los piratas informáticos consultan a los trabajadores de NTP para recopilar datos significativos, por ejemplo, una lista de hosts asociados con los trabajadores de NTP, las direcciones IP de los clientes en una organización, sus nombres de marco y Oss, y las IP internas también se pueden obtener si el trabajador de NTP está en la zona desmilitarizada. .
• Las herramientas de enumeración de NTP se utilizan para evaluar el funcionamiento de los trabajadores de SNTP y NTP presentes en la organización y, además, ayudan en la configuración y confirmación de la disponibilidad desde el cliente de tiempo hasta los trabajadores de NTP.

5. Enumeración SMTP:

• Los marcos de correo generalmente usan SMTP con POP3 e IMAP que permite a los usuarios guardar los mensajes en el correo del trabajador y descargarlos de vez en cuando desde el mainframe.
• SMTP utiliza trabajadores de Mail Exchange (MX) para coordinar el correo a través de DNS. Se ejecuta en el puerto TCP 25.
• SMTP proporciona 3 comandos integrados: VRFY, EXPN, RCPT TO.
• Estos servidores responden de manera diferente a los comandos para usuarios válidos e inválidos a partir de los cuales podemos determinar usuarios válidos en servidores SMTP.
• Los piratas informáticos pueden asociarse legítimamente con SMTP a través de telnet brief y recopilar una lista de clientes importantes en el mainframe.
• Los piratas informáticos pueden realizar la enumeración SMTP utilizando utilidades de línea de comandos como telnet, netcat, etc., o utilizando herramientas como Metasploit, Nmap, NetScanTools Pro, etc.

6. Enumeración de DNS mediante transferencia de zona:

• Es un ciclo para encontrar el trabajador DNS y los registros de una organización objetivo.
• Un pirata informático puede acumular datos importantes de la organización, por ejemplo, nombres de trabajadores de DNS, nombre de host, nombres de máquinas, nombres de usuario, direcciones IP, etc. de los objetivos.
• En la enumeración de transferencia de zona DNS, un hacker intenta recuperar una copia del archivo de zona completo para un dominio del servidor DNS.
• Para ejecutar una transferencia de zona, el pirata informático envía una solicitud de transferencia de zona al servidor DNS haciéndose pasar por un cliente; el DNS luego le envía una parte de su base de datos como una zona. Esta zona puede contener una gran cantidad de datos sobre la organización de la zona DNS.

7. Enumeración IPsec:

• IPsec utiliza ESP (Carga útil de seguridad de encapsulación), AH (Encabezado de autenticación) e IKE (Intercambio de claves de Internet) para garantizar la correspondencia entre los enfoques finales de la organización privada virtual (VPN).
• La mayoría de las VPN basadas en IPsec utilizan la Asociación de seguridad de Internet y el Protocolo de administración de claves, una parte de IKE, para establecer, organizar, modificar y borrar Asociaciones de seguridad y claves criptográficas en un clima de VPN.
• Una comprobación sencilla de ISAKMP en el puerto UDP 500 puede demostrar la presencia de un paso de VPN.
• Los piratas informáticos pueden investigar más utilizando un dispositivo, por ejemplo, salida IKE para identificar la información confidencial, incluido el cifrado y el cálculo de hashing, el tipo de autenticación, el cálculo de transferencia de claves, etc.

8. Enumeración de VoIP (Voz sobre IP):

• VoIP utiliza el protocolo SIP (Protocolo de inicio de sesión) para permitir llamadas de voz y video a través de una red IP.
• La administración SIP en general utiliza los puertos UDP/TCP 2000, 2001, 5050, 5061.
• La enumeración de VoIP proporciona información confidencial, como puertas de enlace/servidores de VoIP, sistemas IP-PBX, software de cliente y extensiones de usuario.
• Esta información se puede utilizar para lanzar varios ataques de VoIP, como DoS, secuestro de sesión, suplantación de identidad de llamadas, escuchas ilegales, envío de correo no deseado a través de telefonía por Internet, phishing de VoIP, etc.

9. Enumeración RPC:

• La llamada de procedimiento remoto permite a los clientes y trabajadores participar en programas difundidos de cliente/trabajador.
• El conteo de puntos finales de RPC permite a los agresores reconocer cualquier administración débil en estos puertos de administración.
• En las redes protegidas por cortafuegos y otros establecimientos de seguridad, este mapeador de puertos se tamiza periódicamente. De esta manera, los piratas informáticos filtran alcances de puertos altos para reconocer las administraciones de RPC que están disponibles para coordinar un ataque.

10. Enumeración de usuarios de Unix/Linux:

• Uno de los pasos más importantes para realizar una enumeración es realizar este tipo de enumeración. Esto proporciona una lista de usuarios junto con detalles como nombre de usuario, nombre de host, fecha y hora de inicio de cada sesión, etc.
• Podemos usar utilidades de línea de comandos para realizar la enumeración de usuarios de Linux como usuarios, rwho, finger, etc.

11. Enumeración SMB:

• La lista SMB es una experiencia significativa para cualquier pen-tester. Antes de descubrir cómo contar SMB, inicialmente debemos darnos cuenta de qué es SMB. SMB representa el bloque de mensajes del servidor.
• Es una convención para compartir activos como registros, impresoras, en general, cualquier activo que el servidor deba recuperar o hacer accesible. Básicamente se ejecuta en el puerto 445 o el puerto 139 dependiendo del servidor.
• Es bastante accesible en Windows, por lo que los clientes de Windows no tienen que organizar nada más que la configuración básica. En Linux en cualquier caso, es algo extraordinario. Para que funcione para Linux, debe introducir un servidor samba ya que Linux localmente no utiliza la convención SMB.
• Claramente, se configurará algún tipo de confirmación como un nombre de usuario y una palabra secreta, y solo ciertos activos se podrán compartir. Entonces, no me gusta que todos puedan llegar a todo, una confirmación sólida.
• El principal defecto evidente es el uso de certificaciones predeterminadas o efectivamente adivinables y, a veces, incluso sin verificación para acceder a activos importantes del servidor. Los administradores deben asegurarse de utilizar contraseñas sólidas para los clientes que necesitan acceder a los activos que utilizan SMB. La falla posterior es el servidor samba. Los servidores Samba son famosos por ser enormemente vulnerables.

Mitigación de diferentes tipos de enumeración

Hay varias contramedidas que se pueden tomar en cuenta para la mitigación de varios tipos de enumeración:

1. Enumeración NetBIOS:

• Deshabilite SMB y NetBIOS.
• Utilice un cortafuegos de red.
• Preferir cortafuegos de Windows/cortafuegos de software.
• Deshabilitar compartir.

2. Enumeración SNMP:

• Elimine al especialista o apague la administración SNMP.
• Si no puede detener SNMP, cambie los nombres de string de red predeterminados.
• Pase a SNMP3, que codifica contraseñas y mensajes.
• Actualice la alternativa de seguridad de directiva de grupo.

3. Enumeración LDAP:

• Utilice la tecnología SSL para cifrar el tráfico.
• Seleccione un nombre de usuario único en relación con su dirección de correo electrónico y autorice el bloqueo de la cuenta.

4. Enumeración NTP:

• Configurar la capa MD5.
• Configure la autenticación NTP.
• Actualice la versión NTP.

5. Enumeración SMTP:

• Ignore los mensajes de correo electrónico a destinatarios desconocidos.
• Deshabilitar la función de relé abierto.
• Punto de ruptura el número de asociaciones reconocidas de una fuente para prevenir hazañas de fuerza bruta.
• No incluir información confidencial sobre el servidor de correo y el host local en las respuestas de correo.

6. Enumeración de DNS mediante transferencia de zona:

• Incapacite los movimientos de la zona DNS a los hosts que no son de confianza.
• Asegúrese de que los hosts privados y sus direcciones IP no se publiquen en los archivos de zona DNS del servidor DNS público.
• Use servicios de regulación de DNS premium que ocultan información confidencial, como información del host, del público.
• Utilice los contactos estándar del administrador de la organización para el registro de DNS para mantener una distancia estratégica de los ataques de diseño social.
• Evite publicar información de direcciones IP privadas en el archivo de zona.
• Deshabilite la transferencia de zona para hosts que no sean de confianza.
• Oculte la información confidencial de los hosts públicos.

7. Enumeración IPsec:

• Las claves precompartidas utilizadas con los componentes de intercambio de claves IKE de modo fundamental y contundente están disponibles para olfatear y desconectar los ataques de granulación de energía salvaje para negociar el misterio compartido. Debe utilizar testamentos avanzados o componentes de validación de dos factores para refutar estos peligros.
• Las claves precompartidas y el modo forzado de IKE son una catástrofe a punto de ocurrir. En caso de que deba mantener el modo IKE enérgico, utilice declaraciones avanzadas para la verificación.
• Forzar el firewall y canalizar el tráfico que pasa a través del túnel encriptado de VPN para que, en caso de compensación, se restrinja el acceso a la red. Este punto es particularmente significativo al brindar a los clientes acceso a la red versátil, en lugar de lugares de trabajo en sucursales.
• Cuando sea posible, limite la relación de seguridad IPsec entrante a direcciones IP explícitas. Esto garantiza que, independientemente de si un agresor negocia una clave precompartida, solo puede acceder a la VPN con un esfuerzo significativo.

8. Enumeración de VoIP (Voz sobre IP):

• Este truco se puede sofocar actualizando SIPS (SIP sobre TLS) y confirmando consultas y reacciones SIP (que pueden incorporar garantía de integridad).
• El uso de SIPS y la verificación de las reacciones puede sofocar muchos hacks relacionados, incluidas las escuchas ilegales y la pantomima de mensajes o clientes.
• El uso de confirmación de resumen junto con el uso de TLS entre teléfonos SIP e intermediarios SIP puede proporcionar una estación a través de la cual los clientes pueden validar de forma segura dentro de su dominio SIP.
• Los mensajes de correo de voz se pueden cambiar a registros de mensajes y analizarse mediante canales de correo no deseado ordinarios. Esto puede proteger a los clientes de los mensajes de voz de SPIT.

9. Enumeración RPC:

• Trate de no ejecutar rexd, users o rwalld RPC administraciones, ya que son de uso insignificante y brindan a los agresores información valiosa y acceso directo a sus hosts.
• En condiciones de alta seguridad, no ofrezca ninguna administración de RPC a la Internet pública. Debido a la imprevisibilidad de estas administraciones, es casi seguro que los atacantes podrán acceder a los contenidos de uso indebido de día cero antes de que se entreguen los datos fijos.
• Para limitar el riesgo de ataques internos o confidenciales contra las administraciones RPC vitales (por ejemplo, segmentos NFS, incluidos statd, lockd y mountd), instale los parches de seguridad más recientes del vendedor.
• Canalice con fuerza el tráfico de salida, cuando sea posible, para garantizar que, independientemente de si un ataque contra una administración de RPC es efectivo, no se puede presentar un caparazón interno asociado al pirata informático.

10. Enumeración de usuarios de Unix/Linux:

• Mantenga el núcleo fijo y actualizado.
• Nunca ejecute ningún servicio como root a menos que sea realmente necesario, especialmente la web, la base de datos y los mainframes de registros.
• El dígito SUID no debe configurarse en ningún programa que le permita acceder al shell.
• Nunca debe configurar el ciclo SUID en ningún supervisor/compilador/mediador de registros, ya que un agresor definitivamente puede leer/sobrescribir cualquier documento presente en el sistema.
• Trate de no otorgar derechos de sudo a ningún programa que le permita acceder al shell.

11. Enumeración SMB:

• Deterioro de la convención SMB en mainframes Web y DNS.
• Debilite la web de la convención SMB frente a los mainframes.
• Puertos para discapacitados TCP 139 y TCP 445 utilizados por la convención SMB.
• Restrinja el acceso anónimo a través del parámetro RestrictNull Access del Registro de Windows.