SNMP: qué es, cómo funciona y cómo evitar el reconocimiento SNMP (2023)

¿Qué es el protocolo SNMP y para qué sirve?

Su sigla en inglés significaProtocolo Simple de Manejo de Red. se significa en españolProtocolo Simple de Manejo de Red. Es uno de los protocolos que ha existido por más tiempo, ya que existe desde 1988. Mientras que los conmutadores y enrutadores inicialmente podían administrarse a través de este protocolo, ahora es posible tener el protocolo SNMP para prácticamente cualquier dispositivo que pueda conectarse a una red. . También es posible monitorear y ajustar la configuración de dispositivos monitoreados remotamente.

Este es un protocolo orientado a datagramas. Cada uno de los dispositivos administrados tiene un agente que se comunica con el dispositivo central que lo administra. Este agente envía información a la referida central, cuyo contenido se almacena en una base de datos conocida comoMIB (Base de información de gestión). ¿Que es eso? Es una forma jerárquica de organizar la información recopilada de cada dispositivo SNMP conectado a la red.

Lo que puedes saber gracias a una MIB (Base de Información de Gestión).

Es fácil ver que la MIB es una fuente fabulosa de información valiosa sobre la red y los dispositivos conectados a ella. Pero, ¿qué información podemos encontrar?

• del usuario: puede describir el número de cuentas de usuario y sus nombres. De igual manera, es posible conocer los grupos de usuarios y la información para crear las cuentas de cada uno.
• programas instalados: La lista de programas de una o más computadoras se puede recuperar fácilmente a través de SNMP. Esto nos permitirá identificar las versiones instaladas. ¿Con eso? Esto se puede usar para determinar si la computadora tiene versiones que son vulnerables a ataques.
• puertas abiertas: Los ciberdelincuentes también pueden explotar los puertos abiertos al obtener información a través de SNMP en lugar de ejecutar un escaneo que podría exponer al ciberdelincuente a los administradores de red.

Versiones SNMP disponibles

En total podemos contar con tres versiones de SNMP. Todos todavía están en uso hoy. Lo que los diferencia unos de otros es la forma en que se implementan y las medidas de seguridad que tienen. En cuanto a esto último, debemosCadena de comunidad«. MorirCadena de comunidadConsiste en una contraseña que sirve para autenticarse en un dispositivo central (el que gestiona) a través de unCadena de comunidadPrivado.

Citamos las siguientes versiones de SNMP:

• SNMPv1:Esta es la versión más insegura del protocolo en términos de medidas de seguridad. Porque utiliza autenticación de texto claro. La cadena de comunidad predeterminada se define comoen público.
• SNMPv2c:Tiene mejoras menores sobre la versión 1, principalmente en términos de rendimiento y seguridad. Sin embargo, no es compatible con la primera versión, por lo que para utilizarlo es necesario disponer de esta versión en concreto. SNMPv2c es la versión más utilizada, aunque la v3 es la que debemos utilizar siempre.
• SNMPv3:Esta es una versión mucho mejor en cuanto a las medidas de seguridad que incorpora. Su actuación también. Incluye comprobaciones de integridad y cifrado en el momento de la autenticación. Desafortunadamente, todavía no se usa mucho en la mayoría de las organizaciones, aunque es mejor usar esta versión.

Niveles de seguridad SNMPv3

SNMP v3 tiene tres niveles de seguridad diferentes.

• NoAuthNoPriv:Esto significa que sin autenticación no hay privacidad. No se requiere autenticación y los mensajes no están encriptados. Su uso es más recomendable para redes cerradas y seguras.
• AuthNoPriv:Esto significa que tiene autenticación pero no privacidad. Aunque los mensajes no se cifran en tránsito, aún deben autenticarse antes de que podamos actuar sobre ellos. En teoría, los datos enviados entre agentes y administradores en tránsito podrían ser interceptados, incluso si están autorizados. Sin embargo, no se traducen en solicitudes get o set adicionales.
• AuthPriv:Este es el sistema con autenticación y privacidad. Es la implementación de SNMPv3 más segura. En este caso, los mensajes deben autenticarse y todos los datos se cifran en tránsito. De esa forma, un factor malintencionado no podría ver los datos generados por solicitudes legítimas ni enviar sus propias solicitudes get o set.

Tipos de mensajes SNMP

• Obtener Solicitud:Es el mensaje que envía un administrador para solicitar datos y actualmente es el más utilizado. El dispositivo final devuelve el valor solicitado con un mensaje de respuesta.
• GetNextRequest:Este es un mensaje enviado por el administrador de SNMP para averiguar qué información está disponible en el dispositivo.
• Obtener solicitud masiva:Esta es una versión actualizada de GetNextRequest. Pero en este caso, la respuesta solicitada contiene todos los datos permitidos por la solicitud.
• Establecer solicitud:Es un comando que el administrador inicia para establecer o cambiar el valor de un parámetro en el dispositivo o sistema del agente a través de SNMP.
• Respondedor:Esta es la respuesta que un dispositivo o agente envía a una solicitud de administrador.
• FalleV2:Es un mensaje que el agente SNMP envía a modo de trap sin que el administrador lo solicite. Son útiles para el seguimiento proactivo.
• Pedido de información:Es un mensaje SNMP v2 que utiliza el administrador para confirmar que se ha recibido un mensaje de captura de un agente.
• Informe:Estos mensajes requieren SNMPv3 y permiten que un administrador determine qué tipo de problema detectó el agente SNMP remoto. Dependiendo del error, el motor de registro puede enviar un mensaje corregido. Si esto no es posible, envía una indicación del error a la aplicación.

El intercambio de información del protocolo SNMP se puede realizar de dos formas, mediante sondeo o mediante trampas. Si manejamos una red que funciona bajo SNMP, debemos entender muy bien la diferencia entre los dos métodos.

La forma precisa en que un administrador SNMP y sus "agentes" se comunican entre sí es normalmente a través de mensajes trap SNMP asíncronos, pero en algunas ocasiones se pueden usar mensajes del sistema.

Como mencionamos, SNMP ha sido tradicionalmente asíncrono, lo que significa que sus agentes enviarán mensajes de trampa SNMP cuando suceda algo notable en el sistema, pero el administrador no solicitará esta información en ningún horario predecible; así que si un agente está en silencio, sepa que no sabe si está desconectado o no, y no hay forma de saberlo.

Esta limitación suele solucionarse en algunos protocolos y, más recientemente, algunos dispositivos SNMP también utilizan el método de sondeo en lugar de enviar mensajes trampa. Si configuramos el sistema de esta manera, los agentes no enviarán mensajes trampa cada vez que algo suceda, a menos que esperen periódicamente una solicitud del administrador, llamada "bucle de sondeo", lo que implica que el administrador envía solicitudes a su agente cada 30 segundos o cada minuto.

Este método que intercambia o sacrifica un poco de inmediatez por un poco más de monitoreo para que cuando un agente esté desconectado no pueda responder a la próxima encuesta y, por lo tanto, sepa que algo anda mal.

La diferencia entre el método de sondeo enviando solicitudes cada "x" veces y el método de envío de mensajes trampa asincrónicos es donde comienza el intercambio de información, ya sea sobre el administrador o sobre el agente, ambos tienen sus pros y sus contras y debes decidir cuál. para usar según su red y cómo funciona.

reconocimiento SNMP

Este es un tipo de ataque y, a su vez, una de las fases de un ataque informático. ¿Por qué? por qué"Ilustración" (en español, reconocimiento)es a la vez un tipo de ataque y una de las fases de un ataque. Por ejemplo, si desea atacar una red, realice tareas de reconocimiento para obtener los mejores resultados después del ataque al "núcleo". Es como una fase de recopilación de información valiosa que se utilizará principalmente para llevar a cabo los ataques.

Pero incluso reconocer o “aclarar” se clasifica como un ataque. Porque como sabemos esto permite la recopilación de información, esta recopilación no está autorizada. No solo podemos conocer los principales datos de los dispositivos conectados a la red. También podemos saber qué recursos del sistema tiene cada uno, qué servicios utiliza y cuáles son sus vulnerabilidades.

Los ataques DDoS, por ejemplo, tienden a obtener mejores resultados después de una fase de reconocimiento. Por lo tanto, podemos decir que la detección sirve como puente para una variedad de ataques que utilizan la información recopilada. Un ataque DDoS puede bloquear un servidor después de recibir una gran cantidad de solicitudes. Es un tipo de ataque que puede afectar a un sitio web, por ejemplo.

si utilizaKali-LinuxGenericName, puedes usar la herramientaverificación de snmp. Con esta herramienta, puede aplicar fácilmente el protocolo a través de líneas de comando. Al ejecutar algunos comandos, puede obtener los siguientes datos de un dispositivo conectado específico:

• información del sistema(nombre de host, descripción, tiempo de conexión, dirección IP)
• información de la red(Número de datagramas recibidos y enviados, TTL por defecto y otros)
• datos de propiedad intelectual(dirección IP, máscara de subred y puerta de enlace)
• información sobre cada uno de losinterfaces de red de dispositivos(ejemplo si está encendido o apagado)
• información del dispositivo(nombre del fabricante, modelo y más)
• datos de enrutamiento

Utilizar:este tipo de exploit para vulnerabilidades SNMP solo se aplica a las versiones v1 y v2.

Es probable que pueda acceder a más información de la mencionada. Esto varía mucho según el dispositivo al que se esté conectando. Sin embargo, es fácil ver que hay mucho que puede aprender sobre el dispositivo en cuestión y la red a la que se conecta. Esta útil herramienta de Kali permite recrear lo que un ciberdelincuente puede obtener de los dispositivos que forman parte de su objetivo de ataque.

Si quieres evitar ataques derivadosreconocimiento SNMPEn primer lugar, debe deshabilitar el registro para todos los dispositivos que no lo necesitan. De esta forma, reducimos el riesgo de ser víctimas de determinados ataques.

Como ya se mencionó, SNMP se desarrolló originalmente para enrutadores y conmutadores. En consecuencia, podríamos reservar este protocolo para esta clase de dispositivos si los requisitos así lo requieren. Por otro lado, el contenido por defecto es elCadenas comunitariaslas contraseñas públicas y privadas, así como las contraseñas difíciles de adivinar, deben cambiarse para evitar que un usuario malintencionado utilice las cadenas estándar que siempre se utilizan en el protocolo SNMP.

Alternativa a SNMP

Si vemos el escenario actual en el mundo de las redes y miramos el rumbo que están tomando las grandes empresas dedicadas a este sector, puede que incluso queramos buscar alternativas. algo comogNMIjCONF. NETA, siguen siendo populares y el pronóstico dice que lo seguirán siendo. Pero estas no son las únicas alternativas que podemos encontrar. Existen protocolos y herramientas que pueden complementar o incluso reemplazar SNMP. No para todos los escenarios, pero sí para algunos casos.

• API REST y SOAP:Son un buen ejemplo de lo que se puede lograr con una API RESTful basada en HTTP. En muchos casos, las aplicaciones y los dispositivos de red dejan sus API abiertas para que puedan usarse para una configuración específica o monitoreo y control de la red.
• WMI y CIM:En muchos casos, estas herramientas de Windows son una implementación muy popular del Modelo de información común (CIM) que se usa para monitorear y administrar dispositivos en Windows. En este caso, se aplican tanto el reemplazo como el complemento de SNMP.
• IPMI:Es una interfaz de administración con funciones implementadas por proveedores como IDRAC de Dell o ILO de HP. Esto facilita la supervisión y administración de servidores.
• ICMP:Es el protocolo de mensajes de control en Internet. Esto permite hacer ping y puede hacer un monitoreo básico para darnos una idea del rendimiento de la red.
• Registro del sistema: En este caso tenemos el Syslog por ejemplo. Esto nos ayuda a categorizar y centralizar la información de registro en toda la red. Además, puede ayudar a detectar errores, informarnos sobre eventos y proporcionar una variedad de configuraciones para el monitoreo.
• SSH/Telnet:A veces, una interfaz de comando simple es una de las mejores formas de administrar su red. Aunque las API de interfaz reemplazan estos sistemas, siguen siendo muy útiles y esenciales en muchas redes.

En definitiva, SNMP o Simple Network Management Protocol es un protocolo de gestión de redes que lleva mucho tiempo entre nosotros. Esto provocó que se actualizara y mejorara con el tiempo, aunque su uso siguió siendo el mismo. También vimos que puede ser un protocolo peligroso.