Sondas de identificación del sistema operativo

Antes de lanzar un exploit, los atacantes podrían intentar sondear el host objetivo para conocer su sistema operativo (SO). Con ese conocimiento, pueden decidir mejor qué ataque lanzar y qué vulnerabilidades explotar. Junos OS puede bloquear las sondas de reconocimiento que se suelen utilizar para recopilar información sobre los tipos de SO.

Antes de Junos OS versión 12.1X47, la resolución DNS se realizaba solo con UDP como transporte. Los mensajes transportados por UDP están restringidos a 512 bytes; los mensajes más largos se truncan y el bit de clase de tráfico (TC) se establece en el encabezado. La longitud máxima de los mensajes de respuesta DNS UDP es de 512 bytes, pero la longitud máxima de los mensajes de respuesta DNS TCP es de 65.535 bytes. Un solucionador DNS sabe si la respuesta está completa si el bit TC está establecido en el encabezado. Por lo tanto, una respuesta DNS TCP puede contener más información que una respuesta DNS UDP.

Hay tres tipos de comportamientos de resolución de DNS:

• Resolución de DNS UDP

• Resolución TCP DNS

• Resolución de DNS UDP/TCP

Los indicadores de control SYN y FIN normalmente no se establecen en el mismo encabezado de segmento TCP. El indicador SYN sincroniza los números de secuencia para iniciar una conexión TCP. El indicador FIN indica el final de la transmisión de datos para finalizar una conexión TCP. Sus propósitos son mutuamente excluyentes. Un encabezado TCP con los indicadores SYN y FIN establecidos es un comportamiento TCP anómalo, que provoca varias respuestas del destinatario, dependiendo del sistema operativo. Consulte la figura 1.

Figura 1: Encabezado TCP con indicadores SYN y FIN establecidos

Un atacante puede enviar un segmento con ambas marcas establecidas para ver qué tipo de respuesta del sistema se devuelve y, por lo tanto, determinar qué tipo de sistema operativo está en el extremo receptor. El atacante puede usar cualquier vulnerabilidad conocida del sistema para otros ataques.

Cuando se habilita esta opción de pantalla, Junos OS comprueba si los indicadores SYN y FIN están establecidos en los encabezados TCP. Si descubre un encabezado de este tipo, descarta el paquete.

En este ejemplo se muestra cómo crear una pantalla para bloquear paquetes con los indicadores SYN y FIN establecidos.

La figura 2 muestra segmentos TCP con el indicador de control FIN establecido (para indicar la conclusión de una sesión y finalizar la conexión). Normalmente, los segmentos TCP con el indicador FIN establecido también tienen el indicador ACK establecido (para confirmar el paquete anterior recibido). Dado que un encabezado TCP con el indicador FIN establecido pero no el indicador ACK es un comportamiento TCP anómalo, no hay una respuesta uniforme a esto. El sistema operativo podría responder enviando un segmento TCP con el indicador RST establecido. Otro podría ignorarlo por completo. La respuesta de la víctima puede proporcionar al atacante una pista sobre su sistema operativo. (Otros propósitos para enviar un segmento TCP con el indicador FIN establecido son evadir la detección mientras se realizan escaneos de direcciones y puertos y evadir las defensas en guardia para una inundación SYN realizando una inundación FIN en su lugar).

Figura 2: Encabezado TCP con indicador FIN establecido

Cuando se habilita esta opción de pantalla, Junos OS comprueba si el indicador FIN está establecido, pero no el indicador ACK en los encabezados TCP. Si descubre un paquete con un encabezado de este tipo, descarta el paquete.

En este ejemplo se muestra cómo crear una pantalla para bloquear paquetes con el indicador FIN establecido pero el indicador ACK no establecido.

Un encabezado de segmento TCP normal tiene al menos un control de indicador establecido. Un segmento TCP sin indicadores de control establecidos es un evento anómalo. Debido a que los diferentes sistemas operativos responden de manera diferente a tales anomalías, la respuesta (o falta de respuesta) del dispositivo objetivo puede proporcionar una pista sobre el tipo de sistema operativo que está ejecutando. Consulte la figura 3.

Figura 3: Encabezado TCP sin indicadores establecidos

Cuando se habilita el dispositivo para que detecte encabezados de segmento TCP sin indicadores establecidos, el dispositivo descarta todos los paquetes TCP con un campo de indicadores faltante o con formato incorrecto.

En este ejemplo se muestra cómo crear una pantalla para bloquear paquetes sin ningún indicador establecido.