¿Te has preguntado alguna vez cómo de fácil es extraer información de tu tráfico de red? Existen tanto herramientas comerciales y gratuitas como métodos de scripting que permiten realizar un análisis de una captura de tráfico y extraer una gran cantidad de información.Cabe preguntarse de qué manera cifran las aplicaciones mis datos, si cifran todos mis datos, y si los datos no cifrados son fácilmente recuperables. E incluso si todo está cifrado, ¿se puede aun así inferir información?Tras este taller, el alumno será capaz de realizar un análisis manual de una captura de tráfico y elaborar herramientas básicas de análisis mediante scripts de Python para agilizar el proceso de análisis.

1. Análisis de capturas de
tráfico de red
Guillermo Román Ferrero – Hartek
RootedCon 2018

2. Análisis de capturas de tráfico de red 2
Acerca de mí
Guillermo Román Ferrero
@Guille_Hartek
• Graduado en Ingeniería Informática
(mención TI) por UVA.
• Máster Universitario en Seguridad
de las Tecnologías de la Información
y las Comunicaciones por la UEM.
• Analista de Protocolos de Red y
Seguridad (Excem Technologies).
• Cofundador y coautor del blog
Follow the White Rabbit
(https://www.fwhibbit.es)
o Seguridad, privacidad y hacking.
o Premio Bitácoras 2016 al mejor blog
de seguridad informática.

3. Análisis de capturas de tráfico de red 3
¿Por qué capturar y analizar el tráfico?
Captura lícita de tráfico:
• Monitorización de redes.
• Redirección a IDS/IPS.
• Análisis de protocolos.
• Ingeniería reversa.
• Análisis de malware.
Captura ilícita de tráfico:
• Espionaje de comunicaciones.
• Profiling no autorizado.
• Obtención de credenciales.
• Proveedor de servicios maligno.

4. Análisis de capturas de tráfico de red 4
¿Por qué capturar y analizar el tráfico?
Métodos habituales para la
obtención de capturas:
• Espionaje de redes inalámbricas.
• Intervención del cableado o electrónica de
red (network tap).
• Port mirroring.
• Suplantación y ataques Man in the Middle.
• Punto de acceso falso (Rogue AP) o
equivalentes en red móvil.
• Proxies y VPN malignas.

5. Análisis de capturas de tráfico de red 5
Datos en una captura de red
De una captura de tráfico,
potencialmente, podríamos sacar
un gran número de datos:
• Aplicaciones y versiones.
• Servicios utilizados.
• Datos personales, credenciales.
• Perfilado del usuario (gustos, intereses…).
• Localizaciones.
• Visitas web.
• Ficheros intercambiados.
• Flags!!
Protocolos interesantes:
• HTTP
• HTTPS
• DNS
• XMPP
• STUN
• FTP/TFTP
• POP3/IMAP/SMTP
• Muchos más: SSH, ICMP, QUIC…

6. Análisis de capturas de tráfico de red 6
Aplicaciones – Packet Analyzer
Permite realizar tanto una
inspección en forma de gráficos
como la disección de la captura en
protocolos, fuentes de tráfico, etc.
Funciones interesantes:
• Exportación de tráfico a Wireshark/fichero.
• Disección de tráfico sobre varios niveles
(p.e. por IP y después por puerto).
• Visión rápida de estadísticas por protocolo.
• Trazado de líneas temporales.

7. Análisis de capturas de tráfico de red 7
Aplicaciones - Wireshark
Inspector de protocolos de red.
Permite capturar y examinar las
diferentes capas de red de una
captura de tráfico.
Funciones interesantes:
• Extracción e inspección de datos (visibles)
de (casi) cualquier protocolo.
• Seguimiento de flujos de tráfico.
• Filtrado de los paquetes.
• Rastreo de orígenes (GeoIP).
• Estadísticas básicas.
• Extracción de objetos (HTTP, FTP…).
• Largo etcétera.

8. Análisis de capturas de tráfico de red 8
Aplicaciones - Wireshark
Algunos ejemplos de filtro:
• http.user_agent (agentes de usuario)
• http.request.full_uri (URIs accedidas)
• http contains “Referer:” (Referer de
peticiones)
• http.request.full_uri contains “maps/api”
(Localizaciones por Google Maps)
GeoIP:
• Base de datos de MaxMind que relaciona
un origen/destino de tráfico con la ciudad,
país, número AS y otra información.
• Datos visibles desde las estadísticas.

9. Análisis de capturas de tráfico de red 9
Aplicaciones - tshark
Interfaz de comandos incluida con
Wireshark.
Permite una inspección de
paquetes más rápida, además de
las mismas funciones de captura y
análisis.
Útil a la hora de extraer datos
específicos de la captura.
Sintaxis sencilla. Ejemplo:
• tshark –r fichero.pcap –Y http.user_agent –T
fields –e http.user_agent

10. Análisis de capturas de tráfico de red 10
Aplicaciones – Network Miner
Herramienta forense de redes.
Permite realizar un análisis de los
paquetes y extraer la mayor
cantidad de información posible.
Es capaz de extraer:
• Hosts accedidos.
• Ficheros intercambiados (HTTP, FTP…).
• Mensajería (en plano).
• Credenciales (en plano) (FTP, Telnet…).
• Resoluciones DNS.
• Parámetros en formulario.
• Información mediante palabra clave.
• Anomalías (Spoofing, parámetros
“extraños”…).

11. Análisis de capturas de tráfico de red 11
Análisis mediante scripting
Los scripts permiten realizar un
análisis especializado de la captura
de red.
Muy útiles cuando buscamos algo
en concreto, o automatizar
extracciones.
Muchísimas alternativas a elegir. En
mi caso:
• Lenguaje: Python (3), sencillo y rápido.
• Librería: dpkt, escrita originalmente por Dug
Song. Permite realizar inspección a nivel de
paquete.

12. Análisis de capturas de tráfico de red 12
Análisis mediante scripting
¡Manos a la obra! Utilizaremos tres
ejemplos de script de extracción:
• Extracción de estadísticas de protocolos por
capa TCP/IP.
• Extracción de agentes de usuario por orden
de uso.
• Extracción de resoluciones DNS tipo A y
CNAME.

13. Análisis de capturas de tráfico de red 13
Conclusiones
Algunas breves conclusiones:
• Las aplicaciones y servicios, incluso si
aseguran cifrar el contenido del tráfico,
pueden dejar información desprotegida.
• Puede realizarse un perfilado del usuario del
dispositivo con esta información.
• Existen herramientas que facilitan de forma
enorme esta tarea.
• Los scripts y aplicaciones personalizadas nos
ayudan a realizar una extracción de
información mucho más ágil.
¡¡Muchas gracias por venir!!