Despidiendo el 2023, Chiste, Monigote y resumen de lo más relevante del 2023.

 

¡Ha llegado el momento de despedirnos del emocionante año 2023 en ciberseguridad! Este año ha sido testigo de una evolución impactante en el mundo de la protección digital, desde innovaciones hasta desafíos notables. Entre las tendencias más destacadas, se observó un cambio en los ataques de ransomware, un mayor enfoque en la seguridad en la nube y un énfasis renovado en la privacidad de los datos. Además, la inteligencia artificial se convirtió en un aliado crucial para detectar malware y mejorar la seguridad.

¡El 2023 ha sido un año emocionante en ciberseguridad! Aquí está el resumen de las principales novedades:

1. Evolución del Ransomware: Los ataques de ransomware evolucionaron, enfocándose en nuevos objetivos y estrategias.

2. Ciberseguridad en la Nube: Se intensificó la protección de datos en entornos de nube, priorizando la seguridad.

3. Énfasis en la Privacidad de Datos: Mayor preocupación y esfuerzos para salvaguardar la privacidad de los datos.

4. IA en Seguridad Informática: La inteligencia artificial se empleó para la detección de malware y la mejora de la seguridad.

5. Lecciones Aprendidas: Se destacaron las lecciones de los incidentes notables, impulsando mejoras futuras.

6. Consejos Útiles: La importancia de actualizar sistemas y aplicaciones se reiteró como medida clave.

¡Fue un año cargado de desafíos y avances! ¡Nos vemos con más novedades el próximo año!

Le pedi a chatgpt que creerá un chiste de ciberseguridad y me salió con esto, espero les guste:

 ¿Por qué el hacker no salió con sus amigos? ¡Porque prefirió mantener su distanciamiento cifrado! 

Comparto la imagen de mi monigote del 2023.

 

 

Phishing Banco del Pacifico, que no te roben tus datos, aprenden como no caer ingenuamente

 Actualmente me han llegado varios correos electrónicos supuestamente enviados desde los bancos Pichincha y Pacifico, en esta ocasión he considerado hacer el seguimiento a este correo, pues me llamo la atencion pues estaba mejor elaborado de los recibidos anteriormente:

Este el correo que llega a mi buzón

 

Al hacer clic en el enlace Validar Aqui, te pide autenticarte con tu correo y contraseña, seguimos con el proceso ingresando mis datos más falsos que esta notificación:

 

Posteriormente te pide ingresar los datos de tu tarjeta

Como sabrán, del proceso este paso es el más importante pues de fallar en el ingreso de los datos mi tarjeta quedará inválida!, pues para este propósito segui ingresando datos más falsos que puede existir pues los malos no váidan nada permiten el ingreso de cualquier dato. Una vez terminado el proceso, finalmente te redirecciona al sitio verificado del banco del pacifico para que ahora si puedas ingresar.

Como bonus, he elaborado un video con todo el proceso aquí descrito, asi que tengan cuidado con esas notificaciones que reciben en sus buzones.

Hasta aquí, nos vemos en la próxima entrada...

Telegraf para capturar Netflow + InfluxDB + Grafana Dashboards

 

En entradas anteriores habíamos visto como instalar Nagios, Pnp4nagios, mrtg y Nagvis. En estos días probando Grafana una potente herramienta para elaborar tableros que soporta varias fuente de datos, elaboré unos dashboard desde PNP4nagios, sin embargo, se me presentó un inconveniente al intentar leer los datos desde MRTG, por lo que revisando conocí de  esta herramienta Telegraf que al integrarla con una base de datos que soporta grafana como InfluxDB, por lo que me puse manos a la obra e instalar estas dos potentes herramientas para monitorear los dispositivos de red, como sabrán mi preferencia con Centos por lo que empecemos:

1.      Primero saber que mi sistema operativo está actualizado:

sudo yum -y update

2.      Agregar repositorio RPM Influxdata

sudo tee /etc/yum.repos.d/influxdb.repo<<EOF

[influxdb]

name = InfluxDB Repository - RHEL

baseurl = https://repos.influxdata.com/rhel/8/x86_64/stable/

enabled = 1

gpgcheck = 0

gpgkey = https://repos.influxdata.com/influxdb.keyProcedemos a instalar Telegraf

EOF

sudo yum -y install telegraf

 

3.      Configuraremos Telegraf

sudo nano /etc/telegraf/telegraf.conf

4.      Agregamos las líneas para enviar las métricas a InfluxDB o puedes quitarle el comentario

[[outputs.influxdb]]

urls = ["http://127.0.0.1:8086"]

database = "telegraf"

## HTTP Basic Auth

username = "telegraf"

password = "telegraf"

5.      Ahora indicamos para que el servicio inicie automáticamente

sudo systemctl enable  telegraf

6.      Ahora iniciamos el servicio

Systemctl start telegraf

7.      Instalamos InfluxDB

sudo yum -y install influxdb

8.      Iniciamos y habilitamos InfluxDB

sudo systemctl enable influxdb

sudo systemctl start influxdb

9.      Configuramos Influxdb

influx

> create database telegraf

> show databases

> create user telegraf with password 'telegraf'

> exit

10.   Configurar HTTPS en Influxdb

11.   Instalamos los paquetes necesarios

Yum install gnutls-utils

12.   Vamos a crear los certificados para ellos creamos ingresamos al directorio /etc/ssl

cd /etc/ssl

sudo mkdir influxdb && cd influxdb

sudo certtool --generate-privkey --outfile server-key.pem --bits 2048

13.   Creamos la clave pública para nuestro servidor influxdb

sudo certtool --generate-self-signed --load-privkey server-key.pem --outfile server-cert.pem

14.   Ahora habilitaremos HTTPS en nuestro servidor influxdb

Nos dirigimos al directorio /etc/influxdb/influxdb.conf y modificamos las siguientes líneas:

# Determines whether HTTPS is enabled.

  https-enabled = true

# The SSL certificate to use when HTTPS is enabled.

https-certificate = "/etc/ssl/influxdb/server-cert.pem"

# Use a separate private key location.

https-private-key = "/etc/ssl/influxdb/server-key.pem"

15.   Reiniciamos el servicio de Influxdb y asegúrese que no de error

Systemctl restart influxdb

16.   Configurar Telegarf para que se conecte por https

Editamos el archivo conf que se encuentra en el siguiente directorio /etc/telegraf/telegraf.conf

# Configuration for sending metrics to InfluxDB

[[outputs.influxdb]]

 

# https, not http!

urls = ["https://127.0.0.1:8086"]

## Use TLS but skip chain & host verification

insecure_skip_verify = true

17.   Reiniciamos Telegraf

systemctl restart telegraf

18.   Explorando tus métricas en InfluxDB

influx -ssl -unsafeSsl -username 'telegraf' -password 'telegraf'

Connected to http://localhost:8086 version 1.7.7

InfluxDB shell version: 1.7.7

> USE telegraf

> SELECT * FROM cpu WHERE time > now() - 30s

19.   Configurar la fuente de datos de Grafana

Abra su navegador web y escriba la dirección IP del servidor con el puerto 3000.

http://direccion_ip:3000/

Inicie sesión con el usuario predeterminado ‘admin’ y la contraseña ‘admin’.

Haga clic en el botón ‘Agregar fuente de datos’ para agregar la fuente de datos influxdb.

Nombre: influxdb

Tipo: influxdb o Query Languaje: InfluxQl

URL: http://direccion_ip:8086/

20.   Configurar el panel de Grafana

Grafana proporciona el repositorio de complementos y paneles de Grafana.

Para importar el tablero de grafana, haga clic en el menú ‘+’ en el panel izquierdo y haga clic en ‘Importar’.

Ahora abra el panel de Grafana de muestra desde la URL https://grafana.com/dashboards/5955 y haga clic en el botón Copiar ID al portapapeles.

Pegue la identificación del tablero.

Y será redirigido automáticamente a la configuración del tablero.

En la sección de opciones, haga clic en InfluxDB y elija su servidor influxdb, luego haga clic en el botón Importar.

Debería ver una captura de pantalla del tablero importado, similar a esta:

 

21.   Listo ahora en nuestro equipo con Telegraf instalado vamos a configurarlo para que pueda monitorear a nuestros switches por SNMP. Para separar y no modificar el archivo telegraf.conf vamos a crear uno nuevo para nuestros switches cisco, para ello creamos un archivo dentro del directorio telegraf.d

nano /etc/telegraf/telegraf.d/telegraf01.conf

22.   Ahora copiamos el siguiente texto, esta claro de que debemos ajustarlo a nuestra necesidad:

[[inputs.snmp]]

  agents = [ "172.16.11.1:161","172.16.12.1:161" ]

  version = 2

  community = "public"

  interval = "60s"

  timeout = "10s"

  retries = 3

 

  [[inputs.snmp.field]]

    name = "hostname"

    oid = "RFC1213-MIB::sysName.0"

    is_tag = true

 

  [[inputs.snmp.field]]

    name = "uptime"

    oid = "DISMAN-EXPRESSION-MIB::sysUpTimeInstance"

 

 [[inputs.snmp.field]]

    name = "CPUBusy"

    oid = ".1.3.6.1.4.1.9.2.1.57.0"

 

  [[inputs.snmp.field]]

    name = "ciscoEnvMonFanState"

    oid = ".1.3.6.1.4.1.9.9.13.1.4.1.3"

 

  [[inputs.snmp.field]]

    name = "ciscoEnvMonVoltageStatusValue"

    oid = ".1.3.6.1.4.1.9.9.13.1.2.1.3"

 

  [[inputs.snmp.field]]

    name = "ciscoEnvMonTemperatureStatusValue"

    oid = ".1.3.6.1.4.1.9.9.13.1.3.1.3"

 

  [[inputs.snmp.field]]

    name = "cpmCPUTotal5min"

    oid = ".1.3.6.1.4.1.9.9.109.1.1.1.1.5"

 

  [[inputs.snmp.field]]

    name = "ciscoMemoryPoolFree"

    oid = ".1.3.6.1.4.1.9.2.1.8.0"

 

  [[inputs.snmp.field]]

    name = "ciscoMemoryPoolTotal"

    oid = "1.3.6.1.4.1.9.3.6.6.0"

 

  [[inputs.snmp.field]]

    name = "ciscoMemoryPoolUsed"

    oid = ".1.3.6.1.4.1.9.9.48.1.1.1.5"

 

  [[inputs.snmp.table]]

    name = "interface"

    inherit_tags = [ "hostname" ]

    oid = "IF-MIB::ifTable"

 

    [[inputs.snmp.table.field]]

      name = "ifDescr"

      oid = "IF-MIB::ifDescr"

      is_tag = true

 

  [[inputs.snmp.table]]

    name = "interface"

    inherit_tags = [ "hostname" ]

    oid = "IF-MIB::ifXTable"

 

    [[inputs.snmp.table.field]]

      name = "ifDescr"

      oid = "IF-MIB::ifDescr"

      is_tag = true

 

  [[inputs.snmp.table]]

    name = "interface"

    inherit_tags = [ "hostname" ]

    oid = "EtherLike-MIB::dot3StatsTable"

 

    [[inputs.snmp.table.field]]

      name = "ifDescr"

      oid = "IF-MIB::ifDescr"

      is_tag = true

 

23.   Reiniciamos Telegraf

Systemctl restart telegraf

24.    

 

Instalar plugin geoip

sudo /usr/share/elasticsearch/bin/elasticsearch-plugin install ingest-attachment

Hasta aquí llegamos, nos vemos en la próxima!

Instalación de Wazuh : Monitorear Agentes

Hace unos días intente probar el SIEM open sources, y me llamo mucho la atención WAZUH, como sabrán me puse manos a la obra y me dedique a instalarlo, pues la instalación no es muy compleja, me decidí integrarlo con Elastic Stack, siguiendo este enlace:

https://documentation.wazuh.com/current/integrations-guide/elastic-stack/index.html#elastic-stack-integration

Lo interesante posterior a la instalación, es que Wazuh Agent es un potente EDR (detección y respuesta de endpoints) complementandolo con dos servicios adicionales, de forma predeterminada, el agente Wazuh recopila registros de Windows y del sistema, pero no proporciona información suficiente sobre nuestra actividad en los end points. Una solución EDR debe recopilar conexiones de red, generar procesos, ejecutar comandos, etc, para que podamos detectar con precisión cualquier actividad maliciosa.

Instalación de Sysmon

Instalemos Sysmon en nuestros end points de Windows. Sysmon es nuestro registro de Windows con potenciado y es muy recomendado aplicarlo en Windows, proporciona su propio archivo Sysmon Config, pero en esta demostración usaré olafhartong GitRepo: Sysmon Modular

¡Vea el script de PowerShell a continuación para instalar Sysmon fácilmente en sus propios puntos finales!

Sysmon ahora escribe eventos lo podemos revisar en el visor de eventos, Registro de Aplicaciones y Servicios / Microsoft / Windows / Sysmon/Operational:

Solos nos resta agregar el bloque de configuración <localfile> al grupo de nuestro Agente Wazuh le indicamos al Agente Wazuh que recopile nuestros eventos Sysmon.

<localfile>
<location>Microsoft-Windows-Sysmon/Operational</location>
<log_format>eventchannel</log_format>
</localfile>

Packetbeat Install

Usaremos Packetbeat para analizar el tráfico de la red en tiempo real, la implementación de Packetbeat en nuestros end points Linux (Sysmon para Windows ya recopila el tráfico de red) nos permite analizar el tráfico de red que viaja hacia y desde nuestros terminales.

Este script bash a continuación para instalar Packetbeat rápidamente

Ahora Packetbeat está escribiendo sus registros en

/tmp/packetbeat/packetbeat.

Finalmente Agregamos el bloque de configuración <localfile> al grupo de nuestro Agente Wazuh para que recopile nuestros eventos Packetbeat.

<localfile>
<log_format>json</log_format>
<location>/tmp/packetbeat/packetbeat</location>
</localfile>

Ok con esto ya nuestros end points usando Wazuh Agent con Sysmon y Packetbeat brinda una visión completa de los puntos finales. Espero que les haya gustado esta integración nos vemos en la proxima y espero que los pueda defender de los malos.

Referencias:

https://socfortress.medium.com/part-4-wazuh-agent-install-endpoint-monitoring-f24f6a0464ac

Footprinting and reconaissance - Tipos de ataques de un sistema

Tipos de ataques de un sistema

Dentro de los tipos de ataques de un sistema se encuentra clasificados:

Operating System Attacks

Application Level Attacks

Mis-configuration Attacks

Shrink Wrap Code Attacks

Los cuales vamos analizar cada uno por si te interesa conocer en que consiste cada uno

• Operating System Attacks

Ganando acceso (Gain Access):

Los atacantes buscan vulnerabilidades en el diseño, la instalación o la configuración de un sistema operativo y las explotan para obtener acceso a un sistema de red.

Vulnerabilidades del sistema operativo (OS Vulnerability):

   Vulnerabilidades de desbordamiento de búfer 

   Bugs (Fallos)

   Sistema operativo sin parches

Ataques al sistema operativo (Operate System Attacks):

    Explotación de la implementación de un protocolo específico

    Atacar el sistema de autenticación incorporado

    Rompiendo la seguridad del sistema de archivos

    Rompiendo contraseñas y mecánica de cifrado

• Application Level Attacks

Los atacantes aprovechan las vulnerabilidades de la aplicación que se ejecuta en el sistema de información de las organizaciones para obtener acceso no autorizado y robar o manipular datos.

La comprobación de errores deficiente o inexistente en las aplicaciones conduce a:

    Ataques de desbordamiento de búfer

    Divulgación de información sensible

    Secuencias de comandos entre sitios

    Secuestro de sesión y ataques man-in-the-middle

    Ataques de denegación de servicio

    Ataques de inyección SQL

Otros ataques a nivel de aplicación incluyen:

    Suplantación de identidad

    Secuestro de sesión

    Ataque de hombre en el medio

    Manipulación de parámetros / formularios

    Ataques transversales de directorio

• Mis-configuration Attacks

Si un sistema está mal configurado, como cuando se realiza un cambio en el permiso del archivo, ya no se puede considerar seguro.

Las vulnerabilidades de mala configuración afectan los servidores web, las bases de datos de las plataformas de aplicaciones, las redes o los marcos que pueden resultar en un acceso ilegal o una posible propiedad del sistema.

Se espera que los administradores cambien la configuración de los dispositivos antes de implementarlos en la red. Si no lo hace, se podrá utilizar la configuración predeterminada para atacar el sistema.

   

Para optimizar la configuración de la máquina, elimine cualquier servicio o software redundante

• Shrink- Wrap Code Attacks

El ataque en el que un atacante explota la configuración predeterminada y la configuración del código y las bibliotecas propias.

¿Por qué reinventar la rueda cuando puede comprar códigos y bibliotecas disponibles en el mercado?

Cuando instala un sistema operativo o una aplicación, viene con scripts de muestra compatibles para realizar varias tareas de administración

Los desarrolladores de aplicaciones también utilizan códigos y bibliotecas disponibles en el mercado para reducir el tiempo y el costo de desarrollo.

El problema no es ajustar ni personalizar estos scripts.

Espero que haya sido útil. si de pronto no encuentras mucha información  en español seguro te servirá de mucho.

Nos vemos en la próxima!!.