La mayoría de las vulnerabilidades de ordenadores pueden ser
aprovechadas de varias formas. Los ataques Hacker pueden utilizar un
simple exploit específico, o varios exploits al mismo tiempo, una
configuración deficiente en uno de los componentes del sistema o
inclusive un backdoor instalado en un ataque anterior.
Debido a esto,
detectar los ataques hacker no es una tarea fácil, sobre todo para un
usuario inexperto. Este artículo da unas cuantas ideas y guías básicas
para ayudarle a darse cuenta si su máquina está bajo un ataque o si la
seguridad de su sistema está expuesta a peligro. Tenga en cuenta que no
hay una garantía del 100% de que usted detecte un ataque hacker de esta
forma. Sin embargo, hay buenas probabilidades de que si su sistema ha
sido penetrado, muestre uno o más de los siguientes comportamientos.
Equipos con Windows:
Tráfico de red de salida sospechosamente alto. Si usted está en una
cuenta de discado o utiliza ADSL y nota un volumen alto no usual en el
tráfico de salida (sobre todo si este tráfico sucede cuando su ordenador
esta inactivo o no necesariamente cargando datos) entonces es posible
que su ordenador esté en peligro. Su ordenador puede estar siendo
utilizado ya sea para enviar spam o por un gusano de red que se esta
reproduciendo y enviando copias de si mismo. Para las conexiones por
cable, esto es menos relevante – es muy común tener la misma cantidad de
tráfico de salida como el tráfico de entrada; inclusive si usted no
está haciendo nada más que visitar sitios o descargar datos de Internet.
Gran actividad del disco duro o archivos de aspecto sospechoso en
los directorios raíces de cualquiera de los discos. Después de penetrar
en el sistema, muchos hackers realizan un escaneo masivo para encontrar
documentos interesantes o archivos que contengan contraseñas o detalles
de cuentas de banco o de pagos como PayPal. De igual forma, algunos
gusanos buscan en el disco archivos que contengan direcciones de correo
electrónico y las usan para propagarse. Si usted nota una gran actividad
en su disco cuando el sistema esta inactivo, y archivos de nombres
sospechosos en carpetas comunes, este puede ser un indicio de
penetración en el sistema o de una infección de malware.
Un gran
número de paquetes que vienen de una dirección simple son y son
bloqueados por un cortafuegos (firewall) personal. Después de ubicar un
blanco (Ej: el rango IP de una compañía o un grupo de usuarios de
servicios de cable) los hackers suelen usar herramientas automáticas de
prueba que tratan de usar varios exploits para irrumpir en el sistema.
Si usted tiene un cortafuegos (firewall) personal (un elemento
fundamental para protegerse de los ataques hacker) y notan un número
inusualmente alto de paquetes que vienen de la misma dirección, entonces
este es un claro indicador de que su equipo está bajo ataque. Las
buenas noticias son que si su cortafuegos (firewall) personal está
reportando estos ataques, es muy probable de que usted esté seguro. Sin
embargo, dependiendo de la cantidad de servicios que usted expone a
Internet, el cortafuegos personal puede fallar en protegerlo contra un
ataque dirigido a un servicio FTP específico de su sistema que haya sido
abierto a todos los usuarios. En este caso, la solución es bloquear el
IP ofensor temporalmente hasta que cesen los intentos de conexión.
Muchos cortafuegos (firewall)s personales y IDS tienen incorporada una
función de bloqueo.
Un gran número de paquetes que vienen de una
sola dirección y son bloqueados por su cortafuegos (firewall) personal.
Después de ubicar un blanco (Ej: el rango IP de una compañía o un grupo
de usuarios de servicios de cable) los hackers suelen usar herramientas
automáticas de prueba que tratan de usar varios exploits para irrumpir
en el sistema. Si usted tiene un cortafuegos (firewall) personal (un
elemento fundamental para protegerse de los ataques hacker) y notan un
número inusualmente alto de paquetes que vienen de la misma dirección,
entonces este es un claro indicador de que su equipo está bajo ataque.
Las buenas noticias son que si su cortafuegos (firewall) personal está
reportando estos ataques, es muy probable de que usted esté seguro. Sin
embargo, dependiendo de la cantidad de servicios que usted expone a
Internet, el cortafuegos personal puede fallar en protegerlo contra un
ataque dirigido a un servicio FTP específico de su sistema que haya sido
abierto a todos los usuarios. En este caso, la solución es bloquear el
IP ofensor temporalmente hasta que cesen los intentos de conexión.
Muchos cortafuegos (firewall)s personales y IDS tienen incorporada una
función de bloqueo. Su antivirus residente de pronto comienza a informar
que ha detectado backdoors o caballos de Troya, inclusive si usted no
ha hecho nada fuera de lo ordinario. Aunque los ataques de hacker pueden
ser complejos e innovadores, los caballos troyanos o backdoor conocidos
siguen utilizándose para obtener acceso completo al sistema amenazado.
Si el componente residente de su antivirus está detectando y reportando
este tipo de malware, puede ser un indicio de alguien está intentando
penetrar a su sistema.
Unix machines:
Archivos con nombres
sospechosos en el archivo/tmp folder. Muchos exploits en el mundo Unix
se basan en la creación de archivos temporales en el fólder /tmp, que no
siempre son borrados después del hackear el sistema. Lo mismo sucede
con algunos gusanos que infectan los sistemas Unix; ellos se apoderan
del directorio tmp y lo utilizan como su "casa".
Con frecuencia,
después de ingresar al sistema, el hacker intenta asegurarse el acceso
instalando una "puerta trasera" en uno de los demonios con acceso
directo desde el Internet, o mediante la modificación de utilidades
standard del sistema que se usan para conectarse con otros sistemas. Los
binarios modificados son usualmente parte de un rootkit y generalmente
son invisibles ante una inspección simple. En todos los casos, es una
buena idea mantener una base de datos de las sumas de control de cada
utilidad de sistema y verificarlas periódicamente desconectando el
sistema de la red y en modo de usuario único.
La alteración de
/etc/passwd, /etc/shadow, u otros archivos de sistemas en el directorio
/etc. A veces los ataques de hackers pueden añadir un nuevo usuario en
/etc/passwd que puede obtener ingreso remoto al sistema en una fecha
posterior. Busque cualquier nombre de usuario sospechoso en el archivo
de contraseñas y monitoree todos los usuarios agregados, especialmente
en un sistema de usuarios múltiples.
Los servicios sospechosos
añadidos a /etc/services. Para abrir una puerta trasera en un sistema
Unix a veces basta añadir dos líneas de texto. Esto se lleva a cabo al
modificar /etc/services así como /etc/ined.conf. Monitoree de cerca
estos dos archivos y preste atención a cualquier adición que podría
indicar una conexión backdoor a un puerto sospechoso o no usado.
