-->

viernes, 29 de enero de 2016

script para automatizar tareas (PARTE 3) - Detectar intruso en nuestra red + aviso por mail

Ya vamos por la tercer parte de esta serie de scripts, ahora toca un script muy curioso que me tomo un buen tiempo dejarlo a punto, antes que nada hay que entender que es necesario tener instalado: nmap para poder saber quien esta conectado a nuestra red y también a mutt o cualquier aplicación que nos deje enviar correo a través de la terminal, y después solo necesitas un poco de tiempo y paciencia para ir probando como funciona y adaptarlo a tu redo u organización, como siempre voy a explicar línea a línea para que todos podamos aprender y crecer....

Acá dejo las partes anteriores:
http://hackendemoniado.blogspot.com.ar/2015/11/script-para-automatizar-tareas-parte-1.html

En la parte dos muestro como configurar a mutt para poder mandar mail por la terminal
http://hackendemoniado.blogspot.com.ar/2015/12/script-para-automatizar-tareas-parte-2.html

"POR FAVOR LEER TODO EL POST PORQUE HAY QUE TENER EN CUENTA VARIOS DETALLES PARA ADAPTARLO A SU RED"

Vamos directamente a mostrar el script:




Como se dan cuenta ya tiene comentarios como para llegar a entender algo, pero bueno debo comentar algunos puntos del funcionamiento del script:

  1. Primero que nada este script funciona como base buscando los mac de cada pc o equipo por ende debo de tener una lista blanca de host que yo conozco y que lógicamente no son intrusos recordad que esto incluye no solo las computadoras sino también celulares, routers,.... etc.
  2. El archivo llamado listablanca.txt cuando se ejecuta la primera ves se va a crear con un mac por defecto 00:00:00:00:00:00 el cual si desean lo dejan así la primera ves y ejecutan el script ingresando los rangos a escanear y ver como muestra y reporta los intrusos o detienen el script y modifican los host porniendo las mac pertinentes.
  3. Si la ruta no les apetece simplemente cambien por la de su interés o que se les complique menos, yo simplemente lo programe así por comodidad en la utilización del script.
  4. Tener en cuenta un punto muy importante que es lo siguiente, el script va a lanzar nmap a cada segmento de ip de su red y si tienen varios segmentos va a tomar un buen tiempo..., lo ideal seria que primero lo ejecuten y tomar aproximadamente el tiempo que toma en analizar toda su red y en definitiva dejar que ejecute completo y de a cuerdo a ese tiempo agregarlo a las tareas automáticas.
  5. El script también realiza un nmap sobre el intruso y con más razón tomar bien el tiempo para su próxima ejecución.
  6. Para que no se ejecute cada tanto tiempo podrian poner el script en una pc en cada segmento de red que mande el correo a la misma cuenta y así no hacer que la tarea en cron se ejecute cada mucho tiempo

Bueno luego de las consideraciones del script pasamos a explicar un poco el script por si no llegan a entender bien....

  • El primer if "if [ ! -d $ruta ]; then" pregunta si existe la ruta, osea si ya fué creada la carpeta, con la opción -d verifica sobre carpetas, si no existe simplemente la crea.
  • Segundo if "if [ -f $ruta/listablanca.txt ];" es lo mismo que en el caso anterior solo que con la opción -f que se utiliza para comprobar si existe o no el archivo, asique ya saben -d para directorios y -f para archivos, no tiene el signo "!" porque ya es implícito que deseamos comprobar que existe asique no es indispensable ese signo.
  • El siguiente punto importante es "nmap -sP $ips > $ruta/controlred.txt" aca es muy simple hacemos un escaneo con nmap sobre el segmento de ip que ingresamospor teclado obviamente esto no funcionara si lo ejecutamos con cron... por eso deje un poco más abajo un ejemplo de nmap sin el pedido por teclado "nmap -sP 192.168.100.1-255 --exclude 192.168.100.4 > $ruta/controlred.txt" osea comentamos las líneas anteriores osea desde el echo que pide el segmento hasta el nmap que utiliza lo ingresado por teclado y descomentamos esta línea que deje de ejemplo y ponen su segmento de red.
  • "cat $ruta/controlred.txt | grep Address | cut -c 14-31 | tr -d "()" > $ruta/host.txt" con esto lo que hago es mostrar la salida del nmap guardada en "controlred.txt" y busco la palabra Address y corto justo en el lugar del mac con la opción "cut -c ..." y lo mando a un archivo llamado "host.txt".
  • "cat $ruta/controlred.txt | grep for | cut -c 22-36 | tr -d "()" > $ruta/ip.txt" exactamente lo mismo que en caso anterior pero buscando solo las ip, también lo guardo en un archivo llamad "ip.txt".
  • Luego genero 2 variables que se llaman "hostmac" y "hostip", la idea es que en el bucle se guarde línea por línea los respectivos mac e ip de los host que están conectados y luego en "busca" guardo un 0 (cero) o un 1 dependiendo de que si lo encontró o no en la lista blanca de host permitidos, si debuelve un cero es porque no esta en esa lista y es un intruso.
  • "echo $hostmac | nmap -v -A -O $hostip >> $ruta/infointruso.txt " lo hago porque encontre un intruso e intento descubrir toda la info posible de el y lo guardo en un txt en el cual se va a ir concatenando cada ves que encuentre uno.
  • "echo "Se encontro un intruso con MAC Address: "$hostmac "IP: "$hostip" acá simplemente muestro el mac y el ip del intruso.
  •  "if [ $bandera == 1 ];then" si la bandarea esta en uno significa que encontro aunque sea un intruso en la red entonces debo de mandar el correo.
  • Luego de eso simplemente mando el correo pertinente con el archivo adjunto y borro la info del intruso.

Link para descargar script

Luego lo que hice fue agregar a cron el script de la siguiente manera:

Y luego puse lo siguiente:


Lo puse para que se ejecute cada 15 minutos, algunas capturas de pantalla:









Como muestra la imagen llega el correo con el adjunto que posee la info del intruso.

Si no entienden algo o encuentra algún error por favor me avisan así lo soluciono, como siempre digo la idea es aprender entre todos....

Espero que les resulte interesante y compartan....

Si tienen ideas de script que pueden llegar a ser útiles no duden en contarme y ver si los puedo ayudar a realizarlos....

Saludos amigos