HoneyPots WIFI

Tener una red WIFI es un tema muy delicado, y más si se trata de un entorno corporativo. Como por todos es sabido, las clásicas medidas de protección basadas en filtrado de direcciones MAC son, aparte de tediosas en configurar si el entorno es lo suficientemente grande, inefectivas por completo.

El verdadero reto en un entorno WIFI grande es poder detectar si alguien esta conectado de forma fraudulenta. En ese escenario, se puede configurar una red de HoneyPots WIFI que permitan detectar la presencia de personas conectadas desde fuera del recinto de la organización, ya que lo mas probable es que los accesos malintencionados se produzcan desde fuera del perímetro.

Uno de los puntos claves, y donde realmente se juega el partido, es en la capacidad de optimizar las zonas de cobertura de los Access Points 'legales'. Estrategias para ello hay muchas y obviamente depende del entorno que se pretenda optimizar, no es lo mismo un edificio, que un piso del edificio. En general, un Access Point decente admite el uso de antenas externas, adquiriendo antenas direccionales en vez de las clásicas omnidireccionales, podremos dirigir con bastante precisión el radio de cobertura.

Una vez completada la optimización de la cobertura y teniendo bajo control los posibles 'leaks' (NetStumbler es tu amigo), pasamos a la fase dos que consiste en crear una red paralela de AccessPoint cuya cobertura esté optimizada a la inversa, es decir, que su área de cobertura sea hacia el exterior y a ser posible con poca incidencia interna.

El modelo deseado se puede ver, gráficamente, así (click para ampliar):

Es muy importante que la red Honeynet comparta el mismo essid y el mismo channel de emisión. Es conveniente hacerlo así para que, desde dentro, al estar los honeypots emitiendo en el mismo channel a menor frecuencia, los clientes legítimos siempre conecten a los corporativos y a la inversa, las conexiones externas deben acabar siempre en los honeypots.

Otro punto a destacar es que tanto si se emplea un servidor radius para validar las conexiones WPA o EAP-TLS, en la red HoneyPot debe haber una copia de la base de datos, ya que lo interesante es averiguar que cuenta / certificado digital ha sido comprometido para el acceso malintencionado.

Una vez implementada la infraestructura, solo queda configurar la red Honeynet para que envíe información a un punto central donde se puedan diseñar alarmas en caso de que se produzca un login satisfactorio. Muchos servidores Radius permiten exportar vía syslog la información. En un próximo post recomendaré una estupenda herramienta para realizar correlaciones de este tipo.

Etiquetas: honeypots , wifi