Continuando con el tema de Ethernet/IP y de las herramientas que pueden ser utilizadas para obtener información de nuestros equipos tal y como hablábamos en las entradas:
Hoy vamos a hablar de otra como es «Ethernet/IP Explorer». En mi caso esta herramienta la voy a utilizar sobre sistemas operativos Microsoft Windows aunque lo podremos hacer sobre Linux y descargarla desde el repositorio Sourceforge en el siguiente enlace:
Con ella podremos encontrar dispositivos en la red local que empleen este protocolo y además mostrar, no sólo sus características, sino también información relativa a Clases, Instancias y Atributos de los diferentes objetos. Para tener un poco más de contexto recomiendo leer el siguiente documento:
Dicho esto un vez que la arrancamos procedemos a seleccionar la interfaz desde donde realizaremos la consultas y la IP del equipo de destino.
A continuación podemos ver algunas características como número de serie, producto y obtener el fabricante…
Hasta ahí todo más o menos igual con respecto a la anterior, pero una de las características para seguir obteniendo información sobre el equipo la podemos conseguir añadiendo «Clases» donde cada una de ellas nos dará más datos.
Entre ellos:
Pero uno de los que me resulta especialmente «curioso» es el número #245 el cual nos proporciona información sobre la dirección IP privada del equipo y que difiere de la que nos hemos conectado. Ésta termina en X.X.X.239 mientras que que nos aparece es 192.168.13.11/24. Como podemos comprobar un usuario mal intencionado podría obtener información de manera remota del direccionamiento existente, auqnue éste se produzca a nivel de capa 2 del Modelo de Referencia OSI. Esto sumado a otra información que se obtenga por otros medios se conseguiría una imagen acerca de las redes o dispositivos que existen en la citada subred.
Quizás esto, a priori, puede no tener importancia pero en mi opinión desde luego que la tiene.
Como todos sabemos una de las labores que han de llevarse a cabo en auditorías, diagnósticos o la acción de un atacante contra nuestras instalaciones es la recolección de información de los equipos que están en funcionamiento. Es decir, debemos conocer qué dispositivos hay conectados; qué servicios exponen en la red para uno u otro fin; versiones de hardware; firmware o sistema operativo; software instalado si lo hubiera; etc.
De esta manera podremos determinar, por ejemplo, algunas cuestiones como si una vulnerabilidad nos afecta o no; si tenemos, o no, algún servicio habilitado pero que no se esté utilizando; si tenemos acceso no controlados; etc. etc.
En entornos industriales dependiendo de diversos factores podemos encontrar distintos protocolos de comunicaciones, por ejemplo:
Fabricante del equipo del sistema de control; algunos optan por unos u otros.
Tipo de control; los requerimientos para el control de proceso o control de movimiento requieren del empleo algunos optimizados para tareas específicas.
Ámbito de uso según sector; existen protocolos optimizados para ciertas tareas como puede ser sector eléctrico, maquinaria, seguridad, etc.
Lo cierto es que la tendencia es que se empleen protocolos basados en tecnología Ethernet y TCP/IP de tal manera que los equipos que lo implementan puedan comunicarse de manera similar a las IT.
¡¡¡OJO!!! de manera similar que no igual. Debemos recordar que los requisitos de latencia, Jitter y determinismo no son los mismos en unas redes que en otras!!!!!!
Así pues cada uno de los protocolos que se emplean sobre este tipo de redes utilizan diferentes números de puertos, desde 1 a 65535, y estos sobre la capa de transporte tanto por TCP como UDP.
Para que os hagáis una idea de la variedad existen os dejo una guía publicada por SANS en la podéis encontrar un resumen de algunos de ellos.
Esto es tremendamente importante para luego poder configurar adecuadamente las reglas de nuestros cortafuegos, dentro de la aplicación de estrategias de Separación, Segmentación y Virtual Patching. Estos es, qué debe comunicar con qué y de qué forma siempre bajo la premisa que «dejar pasar» lo ESTRICTAMENTE NECESARIO.
Adicionalmente, a lo anterior, no nos debemos olvidar de aplicar la funcionalidad que los fabricantes de cortafuegos para realizar DPI (Deep Packet Inspection) sobre el tráfico que vamos a permitir. Es decir, para aquellos que no hayan oído hablar de ello me refiero a realizar un análisis a nivel de Capa 7, Aplicación. Esto es, poder identificar el protocolo pero además los comandos, instrucciones o consignas que puedan enviarse a través de ellos. Es como si escuchando una conversación entre dos personas podamos, aparte de identificar el idioma, también la gramática, la sintaxis o el vocabulario.
A continuación os dejo un par de entradas donde lo explico más detalladamente:
Pero también aparte de leer y/o escribir datos de diferente índole; poder interactuar con los dispositivos; realizar acciones sobre éstos; también podremos emplearlos para obtener información de ellos como versión de hardware, firmware, fabricante, etc. En particular para llevar a cabo acciones sobre ellos con uno u otro fin. Lo que conocemos como «Information Gathering». Todo depende de lo que queramos hacer y su intencionalidad.
Existen herramientas que nos pueden ayudar en esta tarea, para unos u otros protocolos y de esa manera obtener información del equipo en cuestión.
Aquí os dejo una entrada empleando PROFINET-DCP pero en futuras entradas iremos descubriendo otras.
