Episodio 7: Operaciones Sigilosas - Evasión de Firewalls e IDS

Introducción a la Evasión de Firewalls e IDS

¡Bienvenidos y bienvenidas al séptimo episodio de nuestro curso completo de Nmap! En este módulo, vamos a explorar las técnicas de evasión de firewalls e IDS: métodos avanzados que nos permiten realizar escaneos de red exhaustivos minimizando la detección. Estas técnicas son esenciales para realizar pruebas de seguridad completas y entender las limitaciones de los controles de seguridad.

Este juego del gato y el ratón entre el escaneo y la detección es un aspecto crucial de la seguridad de redes que tanto atacantes como defensores necesitan comprender. Al final de este módulo, vamos a entender ambos lados de esta partida de ajedrez técnica —cómo funciona la detección y cómo la evasión la contrarresta—, conocimiento esencial para una evaluación de seguridad integral.

Explicación de los Mecanismos de Detección

Antes de meternos con la evasión, tenemos que entender cómo se detectan los escaneos. Los sistemas de seguridad de red usan varios mecanismos:

Tipos de Firewalls y sus Métodos de Detección

Distintos tipos de firewalls detectan los escaneos de diferentes maneras:

Resumen de la Estrategia de Evasión

Una evasión efectiva no se trata de una única técnica, sino de una estrategia integral que aborda múltiples vectores de detección:

Modificaciones de Timing

• Disminuir las tasas de escaneo para evitar alertas de umbral
• Introducir retrasos aleatorios
• Distribuir el escaneo durante períodos más largos

Manipulación de Paquetes

• Fragmentar paquetes para eludir la coincidencia de patrones
• Usar combinaciones de flags poco comunes
• Manipular las cabeceras de los paquetes

Ofuscación del Origen

• Usar direcciones señuelo (decoy) para ocultar el origen real
• Escanear desde múltiples direcciones de origen
• Manipular la información del puerto de origen

Distribución de Objetivos

• Escanear hosts en orden aleatorio
• Distribuir escaneos de puertos entre múltiples objetivos
• Evitar patrones de escaneo predecibles

La combinación adecuada dependerá de nuestros objetivos específicos y de los controles de seguridad que estemos probando. Vamos a explorar cada enfoque en detalle.

Optimización del Timing y Rendimiento

Las opciones de timing de Nmap nos permiten controlar la agresividad y velocidad de nuestros escaneos. Esto es crucial tanto para evitar la detección como para optimizar la duración del escaneo.

Plantillas de Timing (-T)

Nmap ofrece seis plantillas de timing incorporadas, desde la más sigilosa (T0) hasta la más agresiva (T5):

Ajuste Fino de Parámetros de Timing

Para un control más preciso, podemos ajustar parámetros de timing individuales:

• --min-rate <number>: Número mínimo de paquetes enviados por segundo
• --max-rate <number>: Número máximo de paquetes enviados por segundo
• --min-rtt-timeout <time>: Timeout mínimo de tiempo de ida y vuelta (RTT)
• --max-rtt-timeout <time>: Timeout máximo de tiempo de ida y vuelta (RTT)
• --initial-rtt-timeout <time>: Timeout inicial de tiempo de ida y vuelta (RTT)
• --max-retries <number>: Número máximo de retransmisiones de sondeos de escaneo de puertos
• --host-timeout <time>: Abandonar el objetivo después de este tiempo
• --scan-delay <time>: Tiempo mínimo entre sondeos
• --max-scan-delay <time>: Tiempo máximo entre sondeos
• --min-parallelism <number>: Número mínimo de sondeos en paralelo
• --max-parallelism <number>: Número máximo de sondeos en paralelo

Acá tenemos un ejemplo de parámetros de timing ajustados para un escaneo sigiloso:

sudo nmap --max-rate 10 --scan-delay 1s --max-retries 1 --host-timeout 30m 192.168.1.1

Y para un escaneo rápido que prioriza la velocidad sobre la confiabilidad:

sudo nmap --min-rate 300 --max-retries 2 --min-parallelism 50 192.168.1.1

Técnicas de Manipulación de Paquetes

Las técnicas de manipulación de paquetes modifican cómo se construyen y envían los paquetes para evadir la detección basada en patrones:

Fragmentación (-f, -ff, --mtu)

La fragmentación de paquetes divide las cabeceras TCP en múltiples paquetes IP, lo que puede eludir algunos sistemas de inspección:

# Fragmentar paquetes
sudo nmap -f 192.168.1.1

# Usar fragmentos más pequeños
sudo nmap -ff 192.168.1.1

# Especificar MTU personalizada (múltiplo de 8)
sudo nmap --mtu 24 192.168.1.1

La fragmentación funciona porque algunos sistemas de inspección no reensamblan los fragmentos antes de analizarlos.

Señuelos (Decoys) (-D)

El escaneo con señuelos (decoys) genera ruido enviando paquetes desde direcciones IP falseadas (spoofed) junto con nuestra dirección real:

# Usar señuelos aleatorios
sudo nmap -D RND:10 192.168.1.1

# Especificar direcciones señuelo (ME es nuestra IP real)
sudo nmap -D 10.0.0.1,10.0.0.2,ME 192.168.1.1

# Usar solo señuelos (nuestra IP no incluida explícitamente, necesitamos -S para definirla)
# El siguiente comando usa 10.0.0.3 como IP fuente REAL y 10.0.0.1, 10.0.0.2 como señuelos
sudo nmap -D 10.0.0.1,10.0.0.2 -S 10.0.0.3 192.168.1.1

Esta técnica hace más difícil identificar el origen real del escaneo entre el tráfico de los señuelos.

Manipulación de la Longitud de Datos (--data-length)

Cambiar la longitud de los paquetes puede ayudar a evadir la detección basada en patrones:

# Agregar datos aleatorios a los paquetes
sudo nmap --data-length 25 192.168.1.1

Esto agrega datos aleatorios a los paquetes enviados, haciendo que se parezcan menos a los paquetes estándar de Nmap.

Creación Personalizada de Paquetes (--scanflags, -sN, -sF, -sX)

Para un control máximo, podemos especificar exactamente qué flags usar:

# Escaneo TCP personalizado con flags SYN-FIN
sudo nmap --scanflags SYNFIN 192.168.1.1

# Escaneo Null (sin flags)
sudo nmap -sN 192.168.1.1

# Escaneo FIN
sudo nmap -sF 192.168.1.1

# Escaneo Xmas (flags FIN, PSH, URG)
sudo nmap -sX 192.168.1.1

Estas combinaciones inusuales de flags pueden eludir dispositivos de seguridad configurados para buscar solo tipos de escaneo estándar.

Evadiendo Firewalls e IDS (Técnicas Detalladas)

Nmap ofrece varias técnicas para evadir la detección de firewalls e IDS. Vamos a explorar algunos de estos métodos en más detalle:

Fragmentación (-f, -ff, --mtu)

La fragmentación de paquetes divide las cabeceras TCP en múltiples paquetes, lo que puede eludir sistemas de inspección de paquetes que no reensamblan los fragmentos antes de analizarlos.

sudo nmap -f 192.168.1.1

Para una mayor fragmentación, podemos usar -ff para utilizar fragmentos más pequeños:

sudo nmap -ff 192.168.1.1

Alternativamente, podemos especificar una MTU (Maximum Transmission Unit) personalizada con --mtu. El valor debe ser múltiplo de 8:

sudo nmap --mtu 16 192.168.1.1

Escaneos con Señuelos (Decoys) (-D)

El escaneo con señuelos (decoys) crea ruido haciendo parecer que el escaneo proviene de múltiples IPs de origen, ocultando la fuente real entre los señuelos:

# ME representa nuestra IP real
sudo nmap -D 10.0.0.1,10.0.0.2,10.0.0.3,ME 192.168.1.1

Esto hace que el escaneo parezca provenir de 10.0.0.1, 10.0.0.2, 10.0.0.3 y nuestra IP real (ME). También podemos generar señuelos aleatorios:

# Genera 10 IPs señuelo aleatorias además de la nuestra
sudo nmap -D RND:10 192.168.1.1

Esto genera 10 direcciones IP aleatorias como señuelos.

Spoofing y Uso de Proxies

Podemos rutear nuestros escaneos Nmap a través de proxies o falsear (spoof) nuestra dirección MAC:

• MAC Spoofing (--spoof-mac):

  sudo nmap --spoof-mac 00:11:22:33:44:55 192.168.1.1

  También podemos usar --spoof-mac 0 para una MAC aleatoria, o --spoof-mac Apple,--spoof-mac Cisco, etc., para MACs específicas de proveedores.

• Uso de Proxies a través de Tor (con proxychains):

  Primero, asegurémonos de que Tor esté instalado y corriendo, luego usemos ProxyChains con Nmap:

  sudo proxychains nmap -sT -Pn 192.168.1.1

  Notá que solo los escaneos TCP connect (-sT) funcionan de manera confiable a través de proxies como Tor. Otros tipos de escaneo (como SYN) generalmente fallarán.

Manipulación de la Longitud de Datos (--data-length)

Algunos firewalls e IDS inspeccionan el tamaño de los paquetes. Al agregar datos aleatorios a los paquetes, podemos evadir la detección basada en firmas:

# Agrega 200 bytes de datos aleatorios
sudo nmap --data-length 200 192.168.1.1

Esto agrega datos aleatorios a los paquetes enviados, haciéndolos parecer menos típicos de un escaneo.

Aleatorizar el Orden de los Hosts (--randomize-hosts)

Al escanear múltiples hosts, aleatorizar el orden puede hacer que el patrón de escaneo sea menos obvio:

sudo nmap --randomize-hosts 192.168.1.0/24

Escaneos Idle (-sI)

El escaneo idle (-sI) es una de las técnicas más sofisticadas de Nmap. Utiliza un host "zombie" para realizar el escaneo, haciéndolo completamente ciego (el objetivo no ve nuestra IP):

# Es necesario especificar un host zombie y, opcionalmente, un puerto en él
sudo nmap -sI host_zombie:puerto host_objetivo

Esta técnica requiere un host "zombie" inactivo con secuencias predecibles de IP ID, lo cual es cada vez más raro en sistemas modernos debido a mejoras de seguridad en las pilas TCP/IP.

Manipulación del Puerto de Origen (--source-port o -g)

Muchos firewalls tienen reglas que permiten tráfico desde puertos de origen específicos, particularmente aquellos asociados con servicios comunes. Al manipular el puerto de origen, a veces podemos eludir estos filtros.

Puertos Comunes Confiables

Algunos puertos de origen comúnmente confiables (o al menos, frecuentemente permitidos) incluyen:

• Puerto 20: FTP data
• Puerto 53: DNS
• Puerto 80: HTTP
• Puerto 443: HTTPS
• Puerto 67/68: DHCP

Usando Puerto de Origen en Nmap

Para especificar un puerto de origen (-g es un alias de --source-port):

# Usar el puerto 53 (DNS) como puerto de origen
sudo nmap --source-port 53 192.168.1.1
# O equivalentemente:
sudo nmap -g 53 192.168.1.1

Este ejemplo usa DNS (puerto 53) como el puerto de origen, que a menudo se permite a través de firewalls para consultas DNS.

Combinándolo con un escaneo SYN (que suele ser más sigiloso) para intentar mejores resultados:

sudo nmap -sS -g 443 192.168.1.1

Técnicas Avanzadas de Evasión (Resumen)

Escaneo Idle (-sI)

Como mencionamos, el escaneo Idle usa un host zombie para realizar un escaneo completamente ciego:

# Escaneo Idle básico
sudo nmap -sI host_zombie.philocyber.com 192.168.1.1

# Escaneo Idle especificando un puerto en el zombie (a veces necesario)
sudo nmap -sI host_zombie.philocyber.com:80 192.168.1.1

Esta técnica "rebota" los escaneos en un host "zombie" inactivo, haciendo que el escaneo parezca provenir de ese host en lugar del nuestro.

Escaneo FTP Bounce (-b)

Algunos servidores FTP antiguos y mal configurados permitían ataques "bounce" que podían usarse para escanear indirectamente otros hosts a través del comando PORT/EPRT de FTP:

# Escaneo FTP bounce (requiere un servidor FTP vulnerable)
sudo nmap -b usuario:contraseña@ftp.vulnerable.com host_objetivo

Esta técnica es raramente útil hoy en día, ya que la mayoría de los servidores FTP modernos deshabilitan esta funcionalidad por razones de seguridad.

Estrategias Comprensivas de Evasión

Para una máxima evasión, combinamos múltiples técnicas basadas en el entorno específico:

# Ejemplo de escaneo sigiloso comprensivo
sudo nmap -sS -T1 -f --randomize-hosts --data-length 15 \
  --max-retries 1 --max-scan-delay 500ms 192.168.1.0/24

Puntos Clave

Próximos Pasos

Recursos Adicionales

Quiz de Autoevaluación