UNAM Darknet (Archivo)
Antecedentes
En 2009-2010, el departamento de Detección de Intrusos de UNAM-CERT diseñó y desarrolló el Telescopio de Seguridad UNAM, un híbrido entre un telescopio de red y una darknet honeypot/sinkhole a gran escala. Contaba con asignación dinámica de IPs públicas, gestionando aproximadamente entre 45,000 y 50,000 direcciones IP públicas mediante enrutamiento del NOC.
Este Telescopio de Seguridad permitió recolectar datos valiosos que se transformaron en inteligencia de seguridad accionable, usada para respuesta a incidentes, monitoreo, desarrollo de lógica de detección y análisis de malware.
El UNAM Darknet, componente central del Telescopio de Seguridad, fue refinado en los años siguientes. Fue en parte el resultado de una tesis de licenciatura y proyecto de titulación de la Facultad de Ingeniería de la UNAM. El diseño quedó documentado en la tesis de Javier Santillán, 2011:
- Darknet, motor de detección de tráfico malicioso para el telescopio de seguridad de la UNAM (Mirror Local)
La primera versión de UNAM-Darknet fue diseñada en 2009 e implementada a gran escala entre 2009-2011. Posteriormente sirvió como referencia para el análisis de datos e intercambio de información dentro de la red de la UNAM y con organizaciones de ciberseguridad externas, instituciones académicas y The Honeynet Project.
Nota: Aunque este proyecto ya está desactualizado en su implementación, herramientas y técnicas de análisis de datos, su idea y diseño siguen siendo válidos y viables para implementaciones modernas usando nuevas herramientas y frameworks de recolección y análisis de datos. En un futuro cercano, Honeynet UNAMex Lab buscará opciones para portar una versión moderna de un Darknet-NG que pueda desplegarse dentro del espacio de IPs de red disponible para el proyecto.
Diseño General
La arquitectura de alto nivel del Telescopio de Seguridad UNAM y UNAM-Darknet se muestra a continuación.
UNAM-Darknet fue diseñado con los siguientes módulos principales:
- Módulo de Honeypot
- Módulo de IDS de Red
- Módulo de análisis de flujo de red
Capacidades Generales del Motor de Detección
Detección de Amenazas
- Identificación de tráfico potencialmente sospechoso:
- Detección de escaneos (basada en patrones)
- Propagación de gusanos, bots y virus (basada en firmas)
- Ataques de fuerza bruta
- Ataques dirigidos usando técnicas de spoofing
- Detección de actividad de botnets y redes P2P
Manejo de Malware
- Captura de malware
Análisis Automatizado de Tráfico de Red
- Análisis estructurado de tráfico
- Correlación de alertas de IDS
Información Estadística
- Estadísticas de flujo de red
- Detección basada en firmas
- Detección de dispositivos mal configurados
Forense
- Recolección de evidencia y almacenamiento a largo plazo
- Extracción y análisis de payloads
Amenazas Emergentes
- Detección de tendencias de ataque nuevas y en evolución
Módulos de Darknet
Módulo de Honeypot
El módulo de Honeypot de UNAM Darknet se basó principalmente en honeypots de baja interacción reconocidos en su momento, ajustados para rendimiento y consistencia en la extracción de datos. Las principales herramientas incluyeron:
Módulo de Análisis Estructurado de Tráfico
Este módulo recolectaba, parseaba y analizaba el tráfico de red capturado por la Darknet. Un colector de paquete completo procesaba el tráfico para extraer información relevante como estadísticas, payloads y alertas de IDS.
Principales herramientas usadas:
- Snort — Análisis de paquetes y alertas de IDS
- Argus — Análisis de flujo e inspección parcial de payloads
La integración del Módulo de Honeypot y el Módulo de Análisis Estructurado de Tráfico se ilustra en el siguiente diagrama:
El módulo de análisis de flujo se implementó de la siguiente manera:
Algunos de los resultados de la recolección de datos/tráfico a gran escala y la inteligencia de seguridad procesada:
Referencias y Recursos
- Presentación del Telescopio de Seguridad UNAM durante el DISC de la UNAM (Día Internacional de la Seguridad en Cómputo) 2009: Mirror-Local]
- Presentación del Telescopio de Seguridad UNAM durante el Congreso de Seguridad en Cómputo UNAM 2010: [Fuente] [Mirror-Local]