Ayuda contra craker

dell · #1 (**permalink**) 27/08/2002, 09:20

Amigos Maestros necesito una colaboraciòn hemos detectado un intruso indeseado tratanto de entrar a nuestro red corporativa alguien de ustedes conoce algunas formas para tratar de inhabilitar estas visitas o como podemos de alguna forma detectarlo?

De antemano agrdezco su colaboraciòn

Gurrutello · #2 (**permalink**) 27/08/2002, 10:51

hola
1. como lo has detectado?
2. Usas firewall?

Javierillo · #3 (**permalink**) 27/08/2002, 15:34

instalate un firewall

sci-fi · #4 (**permalink**) 27/08/2002, 16:59

Instalar un firewall me parece que es la mejor opción, y de ellos ZoneAlarm es el mejor. Es gratis para uso particular, shareware para uso comercial. La dir me parece que es <a href='ir.asp?http://www.zonealarm.com' target='_blank'>http://www.zonealarm.com...</a>. Asimismo podes ir a <a href='ir.asp?http://grc.com/intro.htm' target='_blank'>http://grc.com/intro.htm...</a>, es un sitio excelente, el mejor que hay sobre seguridad en máquinas, que incluye muchas herramientas gratuitas y de calidad para combatir el spyware, testear la seguridad de los puertos de la maquina, y recabar datos en general sobre seguridad, te lo recomiendo mucho. El autor de ese sitio que está en este tema desde hace mucho, Internet desde sus comienzos, recomienda ZoneAlarm como el mejor firewall...

Saludos

<div align="center" style="font-size: 13px; font-variant: small-caps; font-weight: bold; background-color: #fc0;">Diseño y Desarrollo Web<br><a href="http://www.sci-web.com.ar/disenio" target="_blank">S C i - W E B</a><br></div>

cookie · #5 (**permalink**) 29/08/2002, 21:29

PEro si ese cracker es un experto, nadie se salva, asi que tomen precausiones contra posibles desastres y respalden información... claro deseo que no pase eso

DarkMoon · #6 (**permalink**) 30/08/2002, 07:03

yo opto por averiguar su IP y joderle el ordenador(bajate un subseven ke es un buen troyano y le devuelves el favor)

Alfon · #7 (**permalink**) 30/08/2002, 07:23

Primero tendrás que averiguar como entró, que técnica usó, que puerto, que IP (puede estar falseada), etc, etc. Para esto supongo que tendrás un firewall. Si no lo tienes deberías de inastalar uno. Si ya lo tienes deberías de configuralo correctamente y no con las opciones por defecto, que normalmente suelen ser un coladero.

Como opción de cortafuegos yo te recomendaría el que hoy dia da mejores resultados: KERIO o Sygate... más bien el primero que en su última versión incorpora un IDS (luego veremos que es un IDS). ZoneAlarm para una red corporativa de cierta importancia no te lo recomiendo para nada.

Siguiente paso.

Si tienes tu cortafuegos bien configurado entonces es el momento de instalar un IDS. Como tienes una red serría entonces un NIDS (Network IDS) que no es otra cosa que un sistema de detección de intrusiones o ataques.

Puedes instalarlo en tu DMZ, antes o despues de tu cortafuegos. De esto dependerá los resultados aportados.

El IDS, normalmente en tiempo real, registrará y "snifará" todas la conexiones entrantes y salientes (dependiendo de como lo configures) analizando los paquetes transmitidos y sus datos buscando patrones de ataques, vulnerabilidades, virus, troyanos, etc, etc que están almacenado en una base de datos. Una vez detecte algo anómalo te enviará una alerta, podrá parar el ataque dpendiendo del tipo de NIDS que instales y guardará todo tipo de datos de tu atacante. Un buen analista, hay que tener buenos conocimientos de TCP/IP, podría averiguar casi todo del atacante incluso, en algunos casos, si usa técnicas de ocultación IP, Spoofing, etc.

No creo que tu atacante sea alguien de grandes conocimientos, así que seguro que lo localizas.

También puedes instalar un software tipo Windump/TCPDump para registrar tu tráfico desde una consola DOS y averiguar quien es filtrando por IP y protocolos.

Como sofvtware de IDS el mejor con diferencia para redes TCP/IP pequeñas y medianas es Snort. Es multiplataforma y gratuito.

Un saludo,
][Miembro de GULCA. Grupo de usuarios de Linux de Cádiz.][

dell · #8 (**permalink**) 30/08/2002, 08:48

Señores Muchas Gracias por su colaboración voy a tomar los correctivos necesarios

Hasta pronto

dell · #9 (**permalink**) 04/09/2002, 16:27

Amigos seguimos con el inconveniente del individuo indeseado en este momento creo que ya averiguado nuestra dirección Ip del servidor con la cual esta enviando spam aprovechando en ancho de banda de 128k a no se donde, como podre detectar su ip? o como estara realizando la conección.

De antemano agradezco la colaboración

Alfon · #10 (**permalink**) 05/09/2002, 01:07

Ya veo que no has leido nada.

Un saludo,
][Miembro de GULCA. Grupo de usuarios de Linux de Cádiz.][

BrujoNic · #11 (**permalink**) 05/09/2002, 10:32

dell, te recomiendo que leas la recomendación de Alfon ya que él tiene mucho tiempo de trabajar en seguridad. Con esto no quiero decir que los demás comentarios no tengan importancia pero él se tomo la molestia de explicar detalladamente como debes o dedeberias tener configurado tu seguridad.

Saludos.

dell · #12 (**permalink**) 05/09/2002, 13:05

Hola maestros he tenido la posibilidad en estos dias de investigar muchisimas fuentes y de conocer algunas otras cosas sobre piratas informaticos pero sin duda que ustedes me han dado buenas herramientas para el manejo del problema, ya el software corta fuego esta instalado en mi máquina pero hemos encontrado que seguimos con un reporte de envio de spam indeseados desde nuestro servidor adicionado a un problema de lentitud en la red lan que se deveriva de los spam.
De todas formas vamos en el paso del IDS software (NIDS) el cual no se por donde buscarlo o cual es el recomendado entonces si Alfon me pueden ayudar con esto GRacias.