POLICÍA ESTATAL DETIENE EN YAUHQUEMEHCAN A SUJETO CON ARMA DE FUEGO - Diario de Tlaxcala\npor REDACCIÓN 30 marzo, 2021 04166\n• El detenido portaba un arma de fuego tipo revólver y un total de 16 cartuchos útiles calibre 32 S&W Long.\nLa Secretaría de Seguridad Ciudadana (SSC) a través de la Dirección de Operaciones Comisaría Apizaco detuvieron este lunes en el municipio de Yauhquemehcan a una persona tras portar un arma de fuego sin documento alguno que acreditara legalmente su portación o posesión de la misma.\nEl acontecimiento se llevó a cabo cuando el personal estatal se encontraba realizando actividades de prevención e inhibición del delito a través de recorridos de seguridad y vigilancia sobre calle 18 de marzo en la colonia San Benito Xaltocan, donde detectaron a un sujeto transitando por el lugar sosteniendo un objeto con características de un arma de fuego y el cual, al percatarse de la presencia policial intentó retirase para eludir a los elementos.\nPor lo que, al encontrarse ante una posible amenaza letal inminente, mediante el respeto de los principios del uso de la fuerza los elementos de la SSC procedieron a dar alcance al individuo para su detención conforme a los derechos que le asisten.\nCabe mencionar que, tras realizar una inspección preventiva además del arma se aseguraron un total de 16 cartuchos útiles calibre 32 S&W Long.\nFinalmente, el sujeto identificado como Mario N., de 42 años de edad y los indicios asegurados, fueron puestos a disposición ante el Representante Social competente para continuar con el procedimiento legal correspondiente.\nLa SSC mantiene estricto apego a la legalidad a fin de prevenir y combatir toda acción que atente contra la seguridad de la ciudadanía.\nContinúan obras de pavimentación en beneficio de los habitantes de Huamantla.\nAsalto en comunidad de Santa María Nativitas\nTianguis Dominical Sano y Seguro en Ixtacuixtla\nREDACCIÓN 3 mayo, 2021 4 mayo, 2021\nVACUNACIÓN CONTRA COVID EN MUNICIPIO DE TETLA


Economía Cubana: Raúl Castro recibe al presidente de la Cámara de Comercio de EEUU\n30.05.14 | 12:08h. EUROPA PRESS | MADRID\nDonohue ha pedido seguir con las reformas en marcha en la isla y ha\nreclamado un "nuevo enfoque" en la relación con EEUU\nEl presidente cubano, Raúl Castro, ha recibido este jueves al presidente\nde la Cámara de Comercio de Estados Unidos, Thomas J. Donohue, quien se\nencuentra de visita en Cuba, según ha informado el diario oficial\n'Granma', que ha publicado una foto del encuentro.\nEl periódico no da más detalles sobre el contenido de la reunión, salvo\nque se abordaron "temas de interés para ambas naciones". Donohue estuvo\nacompañado por el presidente de la Junta de Directores de la Cámara de\nComercio y de la compañía Amway, Steve Van Handel; el vicepresidente\nejecutivo y director financiero de la corporación Cargill, Marcel Smits;\ny la vicepresidenta para las Américas de la División Internacional de la\nCámara de Comercio, Jodi Hanson Bond.\nPor su parte, en la delegación cubana en el encuentro también estuvo\npresente el ministro de Exteriores, Bruno Rodríguez, el de Comercio\nExterior e Inversión Extranjera, Rodrigo Malmierca, y la directora\ngeneral de Estados en el Ministerio de Exteriores, Josefina Vidal.\nDurante un discurso previo en la Universidad de La Habana, Donohue instó\neste jueves a los cubanos a acelerar y ampliar las reformas económicas\nde mercado, argumentando que los inversores mundiales responderán y\npodría ser un camino hacia la mejoría de las relaciones con Estados Unidos.\n"Cuanto más pueda hacer Cuba para demostrar su compromiso con la\nreforma, y cuanto más se pueda hacer para abordar y resolver los\nconflictos en nuestras relaciones, mejores serán las perspectivas para\nlos cambios en la política de Estados Unidos", señaló Donohue, en\npresencia de Malmierca, insistiendo en que la Cámara de Comercio se ha\nopuesto durante años al embargo comercial que aplica Washington a La Habana.\nEn este sentido, Donohue ha elogiado las reformas del Gobierno de Raúl\nCastro, que ha triplicado hasta 450.000 el número de pequeñas empresas\nprivadas y la creación de más de 2.000 cooperativas agrícolas y 400.000\nagricultores privados que trabajan su propia tierra.\nEn cualquier caso, ha agregado que Cuba tiene más por hacer y ha citado\na países como China y Vietnam, como ejemplo de gobiernos comunistas que\nhan elevado el nivel de vida recurriendo a modelos económicos más\norientados hacia el mercado.\n"Esperamos que estos cambios continúen e instamos a que se amplíen. Las\nempresas dentro de la economía global responderán", ha sentenciado\nDonohue, defensor del capitalismo y la libre empresa y una voz\ninfluyente en la política estadounidense.\n"Cuando regresemos a casa daremos cuenta a nuestros líderes políticos de\nlo que hemos visto", ha afirmado Donohue, asegurando que "la Cámara de\nComercio piensa que ya es hora de eliminar las barreras políticas de\nlarga data". "Es hora de un nuevo enfoque", ha remachado.\nSource: Raúl Castro recibe al presidente de la Cámara de Comercio de\nEEUU - Noticias Internacional - INFORMATIVOS -


NIÑO ÁNGEL, CHAPECOENSE: "Me siento mal por salir del país por una tragedia": Niño 'Ángel' del accidente chapecoense | medellin | Caracol Radio\n"Me siento mal por salir del país por una tragedia": Niño 'Ángel' del accidente chapecoense\nEl joven en compañía del alcalde de Medellín participará en Brasil de un homenaje por la atención del siniestro aéreo.\nNiño'Ángel' recibió el pasaporte para viajar a Brasil. / Cortesía Gobernación de Antioquia\n15/12/2016 - 13:30 COT\n"Les agradezco, pero me siento mal porque de la única forma que voy a montar en avión o conocer otro país es por medio de una tragedia", estás fueron las palabras del joven Johan Alex Ramírez, identificado como 'El Niño Ángel' al gobernador de Antioquia, Luis Pérez.\nEl menor fue reconocido por ser la primera persona en llegar al lugar del accidente del avión de Lamia y guiar a los socorristas para el rescate de las víctimas del Club Chapecoense.\nEl adolescente viajará en la noche de este jueves en un avión Hércules de la Fuerza Aérea Brasileña para cumplir una cita con el presidente Michel Temer, quien en nombre de todo un país rendirá homenaje a Colombia por la atención prestada durante la tragedia.\n"Es algo de lo que tienes que estar Johan orgulloso porque el gobierno de Brasil, todo el pueblo brasileño, te quiere hacer un homenaje en representación a Colombia, y vos estas representando al país entero, vos hiciste que la cara de Colombia, de Medellín y de Antioquia ente el mundo la gente viera la película real de lo que somos", manifestó el alcalde Federico Gutiérrez, que será el encargado de velar por el bienestar del menor.\nEl gobernador de Antioquia, Luis Pérez Gutiérrez le entregó al joven la bandera del departamento y el pasaporte para que pueda cumplir con un viaje, que es más que merecido.\n"Johan es un hombre que está listo a responder cuando la solidaridad se necesita (...) Johan nadie lo tuvo que empujar a rogar si no que él cuando vio que había un accidente y su corazón le dijo que había que servir y que había que ayudar y hay que rescatar qué las personas que hoy están vivas también es porque yohan y los rescatistas llegaron a tiempo por ellos", expresó el mandatario seccional.\nEl joven reconoció que lo sorprendió la invitación e incluso confesó que sus padres no querían dejarlo ir porque "es la primera vez que sale del país y que monta en avión".


Estudio de una plataforma de detección de intrusos Open Source - PDF\nEstudio de una plataforma de detección de intrusos Open Source\nDownload "Estudio de una plataforma de detección de intrusos Open Source"\nCarmen Valenzuela Saavedra\n1 UNIVERSITAT POLITÈCTICA DE CATALUNYA Estudio de una plataforma de detección de intrusos Open Source per Alan Alberto Ramírez García Projecte Final de Carrera a la Escola Tècnica Superior d Enginyeria de Telecomunicació de Barcelona Departament d Enginyeria Telemàtica Juliol de 2009\n2 Agradecimientos He de expresar mi gratitud e ilimitada admiración a mis padres, Óscar y María Teresa, y a mis hermanos, por su comprensión, perseverancia y persistencia durante el desarrollo de este trabajo pero en especial, por las muchas otras cosas más que vivimos y que compartiremos... Asimismo, manifestar agradecimiento a mis compañeros y grandes amigos, los cuales han dado soporte moral e incluso, a veces, ayudas invaluables para la finalización de mi proyecto, desde antes y para siempre, a Gianfranco, a Manuel, a Franco, a Juan Manuel, inexorablemente a Lisset, a Jon, a Cristhian; a Gustavo; al Marc, al Jordi Palmés y al Jordi Jaldo, al Alessandro, al Enric, por supuesto a Carlos Jiménez; a Milagros; a mi camarada Krishna... También manifestar mi inmensa gratitud y aprecio a Enriqueta, Julián y María Dolores, por ser, no sólo durante el tiempo que ha durado este trabajo sino, siempre, afectuosos conmigo y considerarme parte de la formidable familia que son... Además, agradecer especialmente al doctor Carlos Silva y a mi director José Luis Muñoz por haber confiado en mí y tolerarme a pesar de todo. En general, a todos los que de una forma u otra desearon, expresa o tácitamente, lo mejor de este proyecto... i\n3 Índice general Agradecimientos I Lista de Figuras V 1. Introducción Motivación Objetivos Generales Específicos Descripción de los contenidos Marco Teórico Código abierto u Open Source Seguridad informática Ataques de red Denegación de servicios o DOS Denegación de servicios distribuida o DDOS Scanning Sniffing Ataques de autentificación IP Spoofing DNS Spoofing ARP Spoofing SMTP Spoofing y Spamming Métodos de defensa tradicionales Firewalls y proxies Redes privadas virtuales Listas de acceso o ACL Sistemas de detección y prevención de intrusos Virtualización Sistema anfitrión o host Sistema operativo guest Máquina virtual Sistemas de Detección de Intrusos y Snort 12 ii\n4 Contenido iii 3.1. Sistemas de Detección de Intrusos Arquitectura general Clasificación IDS basado en host IDS basado en red Implementación de IDSs Snort como IDS basado en red Características Arquitectura Sniffer de paquetes Decodificadores Preprocesadores Motor de detección Mecanismo de registro (logging) y alerta Procesadores de salida (output) Configuración Fichero de configuración Fichero de referencias Reglas Descripción Metodología en la composición de reglas Estructura Configuración y escritura Implementación del Escenario Herramientas de propósitos generales Network mapper o nmap Características Wireshark Características Scapy Características Comandos y funciones Funciones genéricas Base analisys and secutiry engine o BASE Herramientas de virtualización VirtualBox Características Implementación del escenario Instalación y configuración de VirtualBox Instalación Creación y configuración de máquinas virtuales Instalación de herramientas y programas de uso general Configuración de Snort + BASE para el escenario Instalación y preconfiguración de mysql y snort-mysql Configuración vía Web Clonación y backup de discos duros en VirtualBox\n5 Contenido iv Asignación de propiedades de red en las VMs Escenario de pruebas Ejecución de Pruebas y Análisis de Resultados Escaneos con nmap y scapy Escaneo nmap Escaneo con Scapy Alteración en los ttls de paquetes ICMP fragmentados Detección de actividad específica Conclusiones 54\n6 Índice de figuras 3.1. Implementación paralela de Firewall, DMZ e IDS Vulneración de Snort Arquitectura de Snort Arquitectura de Snort Estructura de la cabecera de la regla en Snort Ejemplo de composición de una regla en Snort Técnicas de escaneos en nmap Listado de elementos de un paquete IP en Scapy a través de la función ls Diagrama de un escenario de congifuración Snort+BASE Diagrama de un escenario distribuido de Snort Instalación de VirtualBox Compilación del módulo de kernel vboxdrv Creación del grupo de usuarios de VirtualBox Inicio del New Vitual Machine Wizard Selección del SSOO y del nombre de la VM Asignación de la RAM Inicio del Create New Virtual Disk Elección del tipo de imagen Elección del nombre y tamaño del nuevo disco virtual Creación de un nuevo disco virtual - Sumario Creación de una máquina virtual en VB Definición de la red interna en la instalación de Snort Ejecución de un show databases en MySQL, luego de crear la BBDD snort Comprobación de la correcta exportación del script create mysql Configuración Web de BASE - Inicio Configuración Web de BASE - Paso Configuración Web de BASE - Paso Configuración Web de BASE - Paso Configuración Web de BASE - Paso Configuración Web de BASE - Paso Instalación del Virtualbox Guess Adittions Clonación de una VM con el VBoxManage Campos en la cabecera TCP Campo flags en la cabecera TCP Proceso de escaneo TCP Connect Proceso de escaneo TCP-SYN v\n8 Dedicado a Leonor Vadillo... vii\n9 Capítulo 1 Introducción 1.1. Motivación Actualmente se desarrollan, usan y ofrecen una ingente cantidad de redes corporativas, servicios Webs y comercios electrónicos en general, incluso resulta coherente afirmar que es improbable la existencia de algún negocio que no haya tenido o tenga en cuenta el despliegue de ventas o transacciones electrónicas. Como ya es sabido, la privacidad y la conservación de datos en estos sistemas de telecomunicaciones son factores determinantes y críticos para su correcto funcionamiento y su buen desempeño. Los métodos que emplean Hackers e intrusos para tomar el control total o parcial de los sistemas (lo que en el argot informático se denomiría root your box) son muy diversos, van desde la ingeniería social hasta la aplicación de software muy sofisticado y distribuido, todo esto con múltiples propósitos, en la mayoría de casos la de vulnerar totalmente los sistemas y utilizar sus recursos, tales como CPU, memoria, ancho de banda, entre otros; o también en el robo de información especialmente crítica para los usuarios; etc. Y es por esto, que la seguridad en sistemas informáticos ha desarrollado una amplia gama de soluciones, que incluye la implementación de una topología y del hardware adecuado y la inclusión de software sofisticado a todos los niveles posibles. Por citar los más típicos: existen múltiples tipos de firewalls, de proxies, métodos complejos de encriptación, redes privadas virtuales (VPN), herramientas de análisis y evaluación de vulnerabilidades, sistemas de detección y prevención de intrusos, etc. Este último método, la detección y prevención de intrusos, es relativamente, una nueva adición a las técnicas previamente mencionadas. Por ello, el presente proyecto tratará sobre el estudio e implementación del más popular sistema de detección de intrusos basado 1\n10 Capítulo 1. Introducción 2 en red, Snort, en un escenario virtualizado el en que, además, se configurarán y ejecutarán algunas pruebas de irrupción y de robustez, y su correspondiente análisis en el comportamiento y desempeño de Snort, además se compondrá un conjutos de reglas para un propósito determinado. A la vez, se hará una descripción de las herramientas utilizadas de código abierto para ello, con las propiedades y ventajas inherentes que ello implica. La elección de Snort se basa en que ha alcanzado un estado de madurez y desarrollo, donde su funcionalidad permite despliegues exitosos; por otra parte, su gran difusi on a lo largo de mundo (más de 3,000,000 de descargas y de 150,000 usuarios activos según ) permite tener una comunidad de usuarios lo suficientemente amplia como para advertir de nuevas amenazas y vulnerabilidades, y para generar y compartir reglas. En Snort, además, se disponen de un amplio rango de herramientas y programas para su análisis, como por ejemplo, BASE, ACID, snortlog, snortreport, snortsam, etc Objetivos Generales Los objetivos generales son conocer, analizar y detallar de manera global cuáles son, cómo se usan y de qué manera se despliegan las distintas herramientas Open Source necesarias en la implementación de un sistema de detección de intrusos basado en red. Asimismo, de conocer y desplegar estas herramientas en un sistema virtual Específicos Como objetivos específicos tenemos la instalación y configuración del NIDS Snort; la creación de un sistema virtual Open Source con VirutalBox de Sun. Igualmente, recrear algunos tipos específicos de intrusión en este escenario virtualizado y componer unas reglas para registrar y alertar ante un comportamiento concreto de los usuarios de su red Descripción de los contenidos El presente proyecto consta, además de la Introducción, de cinco capítulos más:\n11 Capítulo 1. Introducción 3 En el capítulo 2 se presenta el marco teórico y los conceptos intrínsecos al tema del proyecto. En el capítulo 3 se hace una descripción teórica exhaustiva de los sistemas de detección de intrusos y de Snort. El capítulo 4 trata la implementación del escenario virtual en el que se pretende realizar la evaluación de Snort y del resto de herramientas, describiendo brevemente las características principales de estas últimas. En el capítulo 5 se muestran las pruebas realizadas y se procura hacer el análisis respectivo del comportamiento de Snort y del resto de programas interventores. El capítulo 6 da las conclusiones de este proyecto.\n12 Capítulo 2 Marco Teórico 2.1. Código abierto u Open Source De forma general y tal como se ha manifestado en los objetivos, se ha pretendido usar herramientas basadas en Software Libre (o Free Software), también conocido como de Código Abierto (u Open Source), por las múltiples ventajas que conlleva su utilización. Sus características son especialmente significativas frente a las soluciones comerciales encontradas en el mercado . Por mencionar algunas, se tiene libertad de uso, copiado y distribución, y con acceso al código fuente, libertad de estudio, edición, modificación, personalización y optimización. Todo esto es factible con la finalidad de encontrar errores en su uso, desarrollar mejoras y personalizar el software con el aporte de la comunidad de usuarios. Su velocidad de desarrollo se da generalmente en ciclos rápidos y además éstos se caracterizan por su gran despliegue alrededor del mundo Seguridad informática La seguridad informática y la protección de datos implican la implementacin de conceptos, técnicas y métodos diversos para hacer las redes confiables, confidentes y seguras. De esta forma se debe garantizar: La prevención al acceso de usuarios desautorizados a información sensible. El acceso a los recursos de la red a usuarios legítimos. La protección de datos y su recuperación en caso de pérdidas. 4\n13 Capítulo 2. Marco Teórico Ataques de red Los ataques en redes se ejecutan con el objetivo de encontrar vulnerabilidades en protocolos y/o servicios y ejecutar desde ahí tareas tan diversas como indeseadas. Por vulnerabilidades se entienden las debilidades existentes en el diseño, configuración u operación de los sistemas. La motivación de crear y desplegar los ataques e intrusiones incluyen: fraude, extorsión, robo de información confidencial, venganza, acceso no autorizado a un sistema, anulación de un servicio, o simplemente el desafío de penetrar un sistema, entre otros. En los primeros años, los ataques involucraban poca sofisticación técnica, sin embargo, a través del tiempo se han desarrollado procedimientos mucho más complejos de ataques para explotar las debilidades en estos sistemas. Esto permite a los atacantes tomar control de sistemas completos y provocar graves desastres en organizaciones o empresas con alto grado de dependencia tecnológica (bancos, servicios automáticos, etc.). Además esta sofisticación en las herramientas actuales hace que no sean absolutamente necesarios conocimientos técnicos avanzados para llevar a cabo ataques a gran escala: éstas se pueden encargar de analizar y vulnerar los sistemas, y copiarse e reinstalarse automáticamente entre ellos. Los objetivos atacados son, en la mayoría de casos, elementos visibles de la red, como servidores Web, DNS, etc. o básicos, como routers, enlaces de red, etc. Los métodos más comunes de ataques aprovechan vulnerabilidades de seguridad de la familia de protocolos TCP/IP Denegación de servicios o DOS Un ataque de denegación de servicio consiste en sobrepasar los límites de recursos establecidos para un servicio determinado, con el objetivo interrumpir su disponibilidad, entorpecer el acceso a sus usuarios y/o degradar su calidad de servicio (QoS). Por tanto, este tipo de ataque no supone en sí peligro para la seguridad de los equipos, ya que no modifica los contenidos de la información ni pretende la obtenención de información sensible. Típicamente una vez finalizado el ataque se vuelve al estado de normalidad, aunque podría darse el caso en que simultáneamente se lancen otros ataques diferentes y/o complementarios cuyo objetivo sí sea comprometer el sistema. Los tres protocolos en los que se basan las técnicas de saturación de paquetes, o flooding, son TCP, UDP e ICMP. Además, la defensa ante los ataques de denegación de servicio no es directa, ya que se basan en vulnerabilidades inherentes al diseño del protocolo TPC/IP.\n14 Capítulo 2. Marco Teórico Denegación de servicios distribuida o DDOS Este ataque es una variante más potente de los de DOS, y tal como lo indica su nombre es ejecutado de forma distribuida. Se basa en realizar ataques DoS de forma masiva a un mismo objetivo desde diferentes localizaciones en la red, de forma que la potencia de ataque sea mucho mayor. El ataque empezaría por una fase de escaneo múltiple con una vulnerabilidad conocida a un conjunto de sistemas objetivo, luego al obtener acceso a parte de ellos, instalar la herramienta DDoS, estos sistemas comprometidos servirán para escanear y comprometer nuevos sistemas, acatando remotamente órdenes del intruso a través de un handler, el cual se encargía de gestionar el registro de éstos. Los ataques pueden ser de tipo TCP half-open o TCP SYN flood, a su vez existen algunas herramientas específicas para ejecutarlos, por ejemplo Smurf (que inunda el sistema objetivo enviando mensajes falsificados de ping broadcast), Fraggle, Trinoo, TFN, Stacheldraht, TFN2K, Mstream, t0rnkit, Trinity DDoS, Erkms, li0n, carko, w0rmkit,etc Scanning El port scanning es una técnica que busca conocer el estado de los puertos de un determinado equipo o red, con la finalidad de averiguar qué puertos están abiertos y qué clase de servicios están ofreciendo en esa red, para iniciar desde ah actividades no permitidas como atacar al equipo con vulnerabilidades conocidas en esos servicios. El scanning también puede referirse al escaneo que se realiza en una red o subred particular, en donde, se tratar de reconocer a los equipos activos en ella. La herramienta por excelencia para los escaneos de ambos tipos es nmap Sniffing Esta técnica, largamente extendida y efectiva, tiene como objetivos la obtención de información sensible y el acceso progresivo a determinados sistemas. Su funcionamiento radica en la captura de datos mientras éstos atraviesan la red, esto se hace posible mediante la activación de una o más intefaces de red o NICs en modo promiscuo, por tanto todos los datos de las tramas pueden ser capturados, analizados y evaluados por los Sniffers, que almacenarán registros con todo el tráfico obtenido, sea destinado o generado por el propio sistema o desde/hacia cualquier otro elemento compartido del entorno de red.\n15 Capítulo 2. Marco Teórico 7 La obtención de esta información sensible (como por ejemplo de credenciales, usuarios y contraseñas, correos electrónicos, número de tarjetas de crédito, etc.) se hace bastante simple si a éstos no se les han aplicado ningún método de encriptación previo, ya que existen varios protocolos que envían este tipo de información en limpio, por ejemplo, Telnet, FTP, HTTP, etc. Los Sniffers son utilizados tanto como programas de hacking como de seguridad, y es bastante usual emplearlos en entornos de difusión, como Ethernet (concentradores y hubs), ya que en éstos todo el tráfico fluye a través de todos los dispositivos en la LAN; por el contrario de un entorno conmutado, donde las tramas son sólo mostradas a la interfaz vinculada a la dirección MAC destino. Comunes Sniffers son netcat, Wireshark, tcpdump, Hunt, Snort (en su modo de sniffer), etc Ataques de autentificación Estos ataques son llevados a cabo a partir de técnicas de suplantación de identidad o spoofing; y utilizados con propósitos maliciosos o de investigación IP Spoofing Técnica conocida también como Identity spoofing o IP address spoofing, basada en la generación de paquetes IP dentro de cualquier protocolo TCP/IP como ICMP, TCP o UDP, con una dirección origen falsa, para identificar a un ordenador como válido en una red. Luego de ganar acceso a la red el atacante puede modificar, redireccionar o eliminar datos, que a su vez puede generar otros tipos de ataques. Se ha de tener en cuenta que las respuestas del host que reciba los paquetes irán dirigidas al dispositivo cuya IP ha sido falsificada. Esta técnica es usada a veces junto con un ataque de DoS que inhabilitaría por ejemplo las respuestas RST. Una herramienta expandida para realizar ataques de esta clase es, por ejemplo, Snurf DNS Spoofing Se falsea las entradas dominio-ip de un servidor DNS, suplantando su identidad ante la resolución de nombres. Las entradas falseadas de un servidor DNS son susceptibles de infectar (envenenar) el caché DNS de otro servidor diferente (DNS Poisoning). Las protecciones de seguridad del servicio de nombres permiten controlar desde el fichero de configuración el comportamiento del servidor frente a los supuestos clientes y servidores, tanto secundarios como los asociados a otros dominios.\n16 Capítulo 2. Marco Teórico 8 Existen utilidades que permiten copiar una base de datos entera de nombres (dominio) desde un servidor DNS, para su posterior análisis, como por ejemplo DIG ARP Spoofing Como es sabido, el protocolo ARP es usado para encontrar una dirección de Ethernet MAC a partir de una IP, a través de una tabla de correlación. El ARP Spoofing es básicamente el método de explotar esta interacción entre estos protocolos, se aplica cuando alguién intenta y logra redireccionar el tráfico de un host hacia otra zona, a través de la suplantación de su MAC. Sólo es aplicable a redes Ethernet SMTP Spoofing y Spamming En un nivel superior, concretamente a nivel de aplicación, en el protocolo SMTP (puerto TCP 25) es posible falsear la dirección fuente de un correo electrónico (spoofing), enviando por tanto mensajes en nombre de otro remitente. Es posible ya que este protocolo no lleva a cabo ningún mecanismo de autenticación cuando se realiza la conexión TCP al puerto asociado. El spamming consiste en el envío masivo de mensajes de correo a muchos usuarios destino, pudiendo llegar a saturar los servidores de correo. Suele emplearse para el envío no deseado de publicidad o información Métodos de defensa tradicionales Firewalls y proxies Los Firewalls son elementos, implementados tanto en hardware como en software, usados para controlar las comunicaciones, permitiéndolas o restringiéndolas (mantienen una TCP state por cada conexión que se establece a través de él) de acuerdo con las políticas de red predefinidas por la organización responsable de la red, con el objetivo de proteger sitios remotos o redes de frontera. Asimismo, son usados para proteger partes de la red de otras partes de la misma en el caso de ataques. Su uso es frecuente en redes perimetrales y en centros de datos.\n17 Capítulo 2. Marco Teórico 9 Generalmente los Firewalls se colocan en el perímetro, entendido como el punto de conexión de la red interna de la red a la cual se quiere proteger y la red exterior (habitualmente, Internet); de este modo se protege la red interna de intentos de acceso no autorizados, que puedan encontrar y aprovechar vulnerabilidades en los sistemas de ésta. Su funcionamiento, características de comportamiento y requerimientos de disponibilidad están indicados en el RFC Los Firewalls de red implementan además una funcionalidad de zona desmilitarizada, o Demilitarized Zone (DMZ ), la cual activa protección de capas entre sitios no confiables (fuera de la red) con sitios fiables (dentro de la red). Ésta sirve como un elemento de seguridad adicional al conectarse al Firewall y en ésta se pueden ubican los servidores de la organización que deben permanecer accesibles desde la red exterior. Los proxies son componentes constituidos como programas o dispositivos, que ejecutan y desarrollan actividad en representación de otro, como intermediario, con los objetivos de mantener los dispositivos anónimos al hacer conexiones con ciertas aplicaciones e incrementar su acceso a determinados recursos vía caching. La mayoría de proxies se usan como servidores Web, pero también son comunes los proxies de ARP, de FTP, etc Redes privadas virtuales Las redes privadas virtuales o VPNs representan una capa de seguridad dirigida a redes públicas o privadas para hacer conexiones de forma segura, y así permitir extender de forma segura una red local sobre una red pública o no controlada (generalmente sobre Internet). Para conseguir protección de datos en las conexiones las VPNs utilizan mecanismos de autenticación y encriptación (por ejemplo, 3DES ó AES) para proveer una capa de defensa sobre la conexión de red Listas de acceso o ACL Una lista de acceso o access control list (ACL) es un concepto telemático por el cual se permite y/o deniega tráfico de red otorgando o restringiendo privilegios. Esto se hace a través de parámetros determinados tales como dirección IP fuente y/o destino, servicios de red o número de puerto. Generalmente los routers con ACL no mantienen una TCP conection state para cada conexión.\n18 Capítulo 2. Marco Teórico 10 Los routers con listas de acceso ofrecen protección perimetral y una base de defensa porque éstos son a la vez dispositivos de frontera para redes perimetrales y elementos núcleo para grandes redes. Los ACLs y los Firewalls se combinan para componer la base de las defensas tradicionales de redes seguras Sistemas de detección y prevención de intrusos La descripción de sistemas de detección de intrusos se desarrolla extensamente en el tercer capítulo. Los sistemas de prevención de intrusos son complementarios a los IDSs ya que añaden métodos y técnicas para que, una vez detectada actividad no permitida en una red, se realicen acciones predefinadas al respecto (como reiniciar la conexión ante un intento desautorizado, etc.) Virtualización La virtualización es un conjunto de técnicas de abstracción de recursos computacionales que a través de una capa virtual (es decir, de forma separada a la capa física que les correspondería) permite que múltiples máquinas virtuales con sistemas operativos heterogéneos puedan ejecutarse individualmente en la misma máquina física. Cada máquina virtual dispone de su propio hardware virtual (memoria RAM, CPU, etc.) y autónomo, con el cual se gestiona el sistema operativo y las aplicaciones Sistema anfitrión o host Es el sistema operativo de la máquina física en donde se ejecutarán sistemas de virtualización, como VirtualBox o vmware Sistema operativo guest Es el sistema que es ejecutado en una máquina virtual. Sistemas operativos como éstos, por otra parte, podrían ejecutarse directamente en un sistema físico.\n19 Capítulo 2. Marco Teórico Máquina virtual Es la representación de una máquina real que, a través del software adecuado, provee un ambiente operativo en el que se puede ejecutar o alojar un sistema operativo guest.\n20 Capítulo 3 Sistemas de Detección de Intrusos y Snort 3.1. Sistemas de Detección de Intrusos La detección de intrusos es un conjunto de métodos con el cual se busca descubrir y revelar actividad no permitida y/o indeseable en un equipo o red. Los sistemas de detección de intrusos (o IDSs), son herramientas de seguridad basadas en estos métodos y que, por tanto, buscan rastros, pistas y/o huellas (lo que se llaman attack signatures) a través de patrones específicos y predeterminados que representan actividad sospechosa o intentos maliciosos. Su impacto en el tráfico es mínimo y además bien ubicados es factible el análisis de grandes redes Arquitectura general De forma genérica los IDSs han de disponer de: Una fuente de captura y registro datos. Pudiendo ser un registro, un dispositivo de red, o como en el caso de los IDSs basados en host el propio sistema. Reglas que especifiquen los patrones para detectar anomalías de seguridad en el sistema. Detectores de eventos anormales en el tráfico de red. 12\n21 Capítulo 3. Sistemas de Detección de Intrusos y Snort 13 Filtros que comparan los datos esnifados de la red o de registros con los patrones almacenados en las reglas. Dispositivo generador de informes y alarmas (en algunos casos con la sofisticación suficiente como para enviar alertas vía correo electrónico o SMS) 3.3. Clasificación Los IDSs están clasificados según su posicionamiento en el sistema y las funciones inherentes a éste, se dividen en dos: IDS basado en host e IDS basado en red IDS basado en host Se refiere a la protección local de un solo dispositivo. Este tipo de IDS, HIDS, obtiene y analiza gran cantidad de información acerca de los eventos y actividades registradas, logs, etc. Esto es posible ya que el software monitoriza continuamente los registros específicos del sistema. Hay tres tipos de HIDS, el primero examina los logs en busca de patrones de ataques; el segundo examina patrones en el tráfico de red (no en modo promiscuo, como en los NIDS) y el tercero es una solución que ejecuta ambos IDS basado en red Se refiere a la captura de paquetes y su análisis en la búsqueda de patrones de actividad indeseada, en tiempo real, a través de una interfaz promiscua dentro de una red. Generalmente el primer nivel de filtrado sirve para determinar qué tipo de tráfico es descartado o considerado para ser analizado en el módulo de reconocimiento de ataques, dejando pasar tráfico ya reconocido como no malicioso. Una vez que un ataque es detectado un módulo de respuesta es el encargado de proveer múltiples opciones para notificar, alertar o tomar otras acciones pertinentes. A este tipo de IDS haremos referencia a lo largo del desarrollo de este proyecto Implementación de IDSs De forma general la implementación de los IDSs depende, por supuesto, de su tipo, de las funciones que se quieran realizar con él y de las necesidades y recursos de los sistemas.\n22 Capítulo 3. Sistemas de Detección de Intrusos y Snort 14 Figura 3.1: Implementación paralela de Firewall, DMZ e IDS Para el caso de un HIDS su despliegue sería muy similar (con las mismas facilidades y dificultades) que con otro cualquier tipo de software basado en host. Por otro lado, la implementación de IDSs basados en red está estrechamente vinculada a su posicionamiento en la red. Típicamente se colocan en áreas con cierto grado de homogeneidad, bajos niveles de entropía y con control en el flujo de red, por ello resulta razonable colocar un NIDS en el segmento por el cual fluya la mayor cantidad de tráfico  . Colocarlo antes o detrás del Firewall podría también resultar útil, ya que para el primer caso se podría tener una representación de la cantidad de ataques que son filtrados en el Firewall y en el segundo las alarmas representarán ataques que han podido sobrepasar a éste. También podría colocarse paralelamente al firewall o a la DMZ como en la figura 3.1. Al mismo tiempo, la implementación de NIDS presenta diversos problemas a partir del escenario que se dispone: En redes conmutadas al no presentar segmentos de red por donde fluya todo el tráfico no será posible capturar ni analizar todo este. En redes de alta velocidad el procesamiento y registro de paquetes es complicado. En conclusión, ambos tipos de IDSs presentan fortalezas y beneficios inherentes a su naturaleza, es por ello que la evolución instintiva ha de ser la inclusión de ambos en un sistema, con el cual se proveería de una cobertura completa.\n23 Capítulo 3. Sistemas de Detección de Intrusos y Snort 15 Figura 3.2: Vulneración de Snort 3.4. Snort como IDS basado en red Snort es un sistema de detección y prevención de intrusos Open Source basado en red que utiliza patrones de búsqueda, llevando a cabo registros de paquetes, análisis de protocolos y búsqueda o comparación de contenido en tiempo real. Utiliza reglas descriptivas para determinar qué tráfico debe ser monitorizado y un motor de detección diseńado modularmente para identificar ataques en tiempo real. Puede ser usado para detectar una gran variedad de ataques y pruebas como: Escaneo de puertos oculto, Ataques basados en la Common Gateway Interface (CGI ) Spoofing de protocolo ARP, y Ataques en daemons con vulnerabilidades conocidas, etc. Vulnerar Snort por intrusión significaría que el establecimiento de conexiones para ataques hacia un sistema objetivo sea transparente a él, la línea roja de la figura 3.2 representa una conexión transparente al NIDS. Es importante mencionar también que Snort dispone puede funcionar en modo Inline, el cual le brinda una capacidad limitada para comportarse como un sistema de prevención de intrusos (IPS), en esta función la obtención de los paquetes se hace desde iptables en vez que del libpcap, y se hace uso de tres tipos específicos de reglas: drop, reject y sdrop, los cuales están explicados brevemente más adelante Características Distribución libre bajo licencia GNU General Public License (GLP), gratuito y disponible para UNIX/Linux y Windows.\n24 Capítulo 3. Sistemas de Detección de Intrusos y Snort 16 Figura 3.3: Arquitectura de Snort La escritura de reglas hace uso de un lenguaje propio, además de otros lenguajes de programación. Desarrollado y mantenido por Sourcefire. Actualización de reglas. Snort puede ejecutarse en múltiples interfaces. Dispone de sistemas de registro y alertas Arquitectura Existen varios componentes con funciones específicas dentro de la arquitectura de Snort  , como se puede ver en la gráfica 3.3, primero los paquetes son obtenidos a través del sniffer, posteriormente son adecuadamente decodificados, luego pasan a través de los preprocesadores que realizan actividades como desfragmentación o reemsamblaje, para que finalmente el motor de detección se encargue de comparar patrones de acuerdo a las reglas preestablecidas. A continuación se explica brevemente las características y funciones de estos elementos de la arquitectura de Snort Sniffer de paquetes El sniffer de paquetes obtiene los paquetes de tráfico en un enlace de red vía el libpcap.\n25 Capítulo 3. Sistemas de Detección de Intrusos y Snort Decodificadores Los decoders tienen la función de preparar los paquetes recibidos por Snort antes de ser procesados y enviados al motor de detección, añadiendo punteros a posiciones críticas en este flujo de datos, desde la estructura de paquetes a nivel enlace hasta las cabeceras Ethernet, IP, TCP, UDP y payload. A través de los decodificadores, es que se debe alertar de diversos eventos como cabeceras truncadas u opciones de tamaños inusuales o no frecuentes en las opciones de TCP Preprocesadores Snort necesita frecuentemente manejar y ejecutar tareas de organización y modificación con los datos de forma preliminar antes de intentar comparar y encontrar similitudes con las reglas de su base de datos. Esto se hace con un conjunto de preprocesadores modulares que consisten en pequeños programas escritos en C y que realizan estas acciones específicas en los paquetes. Estas rutinas son llamadas después de que Snort decodifique la información pero antes de enviarlos al motor de detección. Por otra parte, los preprocesadores son cargados en el orden en que se encuentran en el fichero de configuración de Snort y los paquetes pasan a través de los preprocesadores en el orden en que son cargados. Los preprocesadores usuales en Snort, son básicamente tres, tal como se ve en la figura 3.4, cada cual con unas funciones propias, proveyendo: frag3 defragmentación IP basada en objeto Stream5 reensamblaje TCP basado en objeto http inspect soporte de normalización para URI (Identificador uniforme de recurso) Desfragmentación Detecciones para ataques y/o actividades no habilitadas por las reglas estándares de Snort. Servicios de normalización para presentar la información en formatos estándares. Servicios de reensamblaje para que la detección se haga contra un mensaje completo.\n26 Capítulo 3. Sistemas de Detección de Intrusos y Snort 18 Figura 3.4: Arquitectura de Snort Detecciones basadas en preprocesadores: normalización, truncamiento y reensamblaje. Capacidad de detección para algunos problemas de tráfico Motor de detección El detection engine, que es la parte fundamental de Snort, inspecciona cada paquete comparándolos con los patrones u opciones listadas en los ficheros reglas de Snort. Estas reglas son leídas en estructuras internas de datos donde su patrones son comparados con los de los paquetes. Si alguna de éstas concuerda, se llevarían a cabo las acciones correspondientes (registro de los paquetes o generación de alertas), en caso contrario, los paquetes son descartados Mecanismo de registro (logging) y alerta Tal como se comentó anteriormente, dependiendo de qué encuentra el motor de detección de Snort, lo paquetes serán registrados o se generarán las alertas preestablecidas. Los registros (generalmente almacenados en la carpeta /var/log/snort) son archivados como ficheros tcp-dump-style o con otros formatos. Snort no está diseñado para el envío de alertas a través correos electrónicos (para ello bastaría usar una herramienta de log parking, como swatch) Procesadores de salida (output) Estos módulos controlan el tipo de estructura de salida generado por los sistemas de registro y de alerta. Entre otras actividades se podría:\n27 Capítulo 3. Sistemas de Detección de Intrusos y Snort 19 Registrar (por defecto en /var/log/snort/alert) Enviar SNMP traps Enviar mensajes al syslog Registrar la información relevante en bases de datos (MySQL u Oracle) Generar salidas XML Alterar configuraciones en Firewalls o routers Configuración Pocos prerrequisitos son necesarios antes de la compilación de Snort. Su estructura de carpetas se encuentra usualmente en /etc/snort Fichero de configuración Para que Snort funcione como un IDS de red es necesario definir y estructurar su comportamiento en su archivo de configuración (ubicado normalmente en la ruta por defecto /etc/snort/snort.conf) y ejecutarlo de la siguiente forma: snort -c /etc/snort/snort.conf Dentro de éste se encuentran los distintos tipos de directivas: include, var, config, preprocessor y output y además es donde se debe de especificar las diferentes referencias a otros archivos, a través de rutas o paths, como, por ejemplo la carpeta donde se encuentran las reglas: RULE_PATH /etc/snort/rules Fichero de referencias Ubicado por defecto, en /etc/snort/reference.config, define qué URLs podrán usarse como referencias en la escritura de reglas. Mantiene la siguiente sintaxis: config reference: nombre_xxx Por ejemplo: config reference: cve_http:// config reference: URL_http://\n28 Capítulo 3. Sistemas de Detección de Intrusos y Snort Reglas Descripción Las reglas en Snort están escritas en un lenguaje ligero y potente. Éstas son abiertas, es decir cualquiera podría inspeccionarlas y comprobar que cumplen con cubrir las vulnerabilidades a las que van dirigiras. Las reglas estándar de Snort son compuestas por el equipo de búsqueda de vulnerabilidads (VRT) de Sourcefire Metodología en la composición de reglas El VRT de Sourcefire recomienda una metodología en la escritura de reglas de cuatro componentes : Investigación de la vulnerabilidad. Modelado del protocolo. Identificación de las condiciones de activación. Prueba y verificación de las hipótesis. También, según el VRT de Sourcefire el formato de las reglas, está definido para que sea posible: Verificar que las reglas proveen completa protección contra las vulnerabilidades para las que ha sido escritas. Crear y/o modificar reglas para la detección de problemas con servicios personalizados específicos. Aprovechar las reglas disponibles de la comunidad de usuarios Estructura Las reglas en Snort se componen de dos partes lógicas: Cabecera Opciones\n29 Capítulo 3. Sistemas de Detección de Intrusos y Snort 21 Figura 3.5: Estructura de la cabecera de la regla en Snort En la cabecera se establecen las acciones que la regla va a ejecutar, y al mismo tiempo, se definen los criterios necesarios para que la regla identifique los paquetes de datos que se ajustan a ella. La estructura básica de la cabecera puede verse en la figura 3.5. El elemento de acción determina cómo se operará cuando la regla es activada; típicamente, se genera un alerta, se registra el mensaje y/o se invoca a otra regla. Dentro de las opciones de este campo tenemos: pass.- ignorar los paquetes log.- registrar los paquetes alert.- generar un mensaje de alerta activate.- crear una alerta y activar otra regla de acuerdo a condiciones predefinidas dynamic.- registra los paquetes al ser activada por una regla activate drop.- hace que iptables rechace y registre el paquete reject.- iptables rechaza, registra y envía un TCP reset o un mensaje ICMP port unreachable, dependiendo del protocolo sdrop.- iptables rechaza el paquete pero sin registrarlo Acciones definidas por el usuario La parte de protocolo establece qué protocolo en particular tendrán los paquetes a los que se les aplica la regla; comúnmente: TCP, UDP, IP, ICMP, etc. Los pares de campos de dirección/puerto definen las direcciones fuente y el destino, determinadas por el elemento Sentido ( >, <, < >), pudiendo representar únicos o múltiples dispositivos de una red (es posible usar la palabra any para especificar todas las direcciones, escribirlas en formato CIDR o excluirlas con el keyword:! ). La parte de opciones comprende los criterios adicionales para encontrar paquetes que se correspondan con la regla. Se escriben dentro de paréntesis, donde puede haber una o más opciones separadas por un ; cada una de estas opciones tiene dos partes: keyword y argumento. Hay cuatro categorías para estas opciones, para mayor indagación sobre el funcionamiento propio de cada uno de ellos ver :\n30 Capítulo 3. Sistemas de Detección de Intrusos y Snort 22 Figura 3.6: Ejemplo de composición de una regla en Snort Generales: msg, reference, gid, sid, classtype, rev, etc. Detección de contenido: content, nocase, rawbytes, depth, offset, distance, uircontent, etc. Detección non-payload: fragoffset, ttl, tos, id, ipopts, fragbits, etc. Postdetección: logto, session, resp, react, tag, activates, etc Configuración y escritura Cada regla de Snort debe escribirse en una sola línea o en su defecto, han de tener un backslash al final de cada una de ellas. La regla o conjunto de reglas relacionadas se almacenan en ficheros de texto con la extensión.rules. Su ruta por defecto es /etc/snort/rules. Al componer reglas nuevas necesariamente se ha de seguir la metodología y estructura arriba descritas y además se ha de añadir los nombres de éstas en el fichero de configuración de Snort (figura 3.6), también es imprescindible asignar en cada regla un identificador numérico y único de Snort (o sid), el cual permite a los plugins de salida el reconocimiento fácil de las reglas, esto se hace a través del siguiente formato en el apartado de opciones: sid: <identificador de regla>; Un ejemplo de una regla simple se puede observar en la figura 3.6\n31 Capítulo 4 Implementación del Escenario 4.1. Herramientas de propósitos generales Network mapper o nmap Nmap es una de las utilidades de código libre más íntegras para el escaneo de redes y por tanto, su uso es el más extendido. Está diseñado para permitir a los administradores de sistemas y en general, a quien lo desee, escanear redes a gran escala para determinar qué dispositivos están activos y/o disponibles y qué tipo de servicio (nombre, versión, etc.) están ofreciendo en ese momento. De esta forma es posible explorar las redes y auditar su seguridad Características Disponible para Unix y Windows. Soporta una amplia variedad de técnicas de escaneo (aproximadamente quince), además de unas veinte configuraciones para cada una de ellas. Utiliza huellas TCP para la identificación del sistema operativo del equipo escaneado. A pesar de haber sido diseñado para grandes redes, se desempeña bastante bien para un solo equipo. nmap dispone de una interfaz gráfica de usuario llamada NmapFE. En la gráfica 4.1 se pueden apreciar las distintas técnicas de escaneos de nmap. 23\n32 Capítulo 4. Implementación del Escenario 24 Figura 4.1: Técnicas de escaneos en nmap Además ofrece otras varias prestaciones como detección de sistemas operativos (y sus versiones) vía TCP/IP fingerprinting, escaneo paralelo, detección de dispositivos no activos vía pings paralelos, decoy scanning, port filtering detection, direct (non-portmapper) RPC scanning, fragmentation scanning y flexible target y port specification. Hace uso de paquetes IP para determinar los tipos de Firewalls o filtradores de paquetes en empleo. El resultado del escaneo es usualmente una lista de puertos de interés en la(s) máquina(s) escaneada(s), mostrando el número, estado, protocolo y el más probable nombre del servicio. Los estados son abierto, filtrado, sin filtrar y cerrado: Abierto.- la máquina objetivo aceptará conexiones en ese puerto sin restricciones. Filtrado.- posiblemente un Firewall, filtro u otro obstáculo está bloqueando el puerto. Sin filtrar.- puertos sin filtrar detectados por escáneres ACK o de Ventanas. Cerrado.- el puerto está correctamente bloqueado o sin ningún servicio a la escucha Wireshark Es un analizador de paquetes de red. Esto quiere decir que captura datos, en los que procesa y analiza su información para mostrarla de forma detallada. Por el contrario\n33 Capítulo 4. Implementación del Escenario 25 de otros programas costosos, propietarios o ambos, Wireshark es uno de los mejores analizadores de paquetes Open Source hoy en día Características Disponible para Unix y Windows. Captura de paquetes en tiempo real desde la interfaces de red. Muestra y almacena la informacin de los paquetes capturados Es posible importar y exportar datos de los paquetes hacia o desde otros programas Existen filtros de paquetes según el criterio que se le quieran aplicar. También están disponibles la búsqueda de paquetes y creación de estadísticas Scapy Scapy es un programa de código libre, escrito en Python, generador y manipulador de paquetes. Permite enviar, esnifar, analizar, conformar y falsear paquetes de red. De esta forma se pueden construir aplicaciones que puedan probar, escanear o lanzar ataques de red. Su desarrollo actual es relativamente nuevo y a pesar de ser bastante potente, no existe demasiada documentación al respecto Características Es posible asignar variables, definir funciones, usar loops, etc, ya que scapy hace uso del Python Interpreter como línea de comandos o lenguaje específico de dominio (DSL). Es factible la composición y decodificación de paquetes en un variado número de protocolos Se pueden hacer combinaciones ilimitadas en la composición de paquetes, es decir que cada nivel o paquete puede ser manipulado pudiéndole poner cualquier valor que se quiera. Además cada campo tiene valores por defecto que funcionan. Los paquetes formados pueden ser enviados por la red, capturados, comparados, replicados, etc.\n34 Capítulo 4. Implementación del Escenario 26 Se pueden llevar a cabo diferentes tareas, como escaneos, tracerouting, probing, pruebas de unidades, ataques y descubrimiento de red, etc. Según sus desarrolladores , Scapy puede reemplazar total o parcialmente a distintas herramientas: hping, 85 % de nmap,arpspoof, arp-sk, arping, tcpdump, tethereal, p0f, etc. Puede ejecutar tareas específicas que otras herramientas no pueden manejar, como por ejemplo, el envío de tramas no válidas, la inyección de tramas modificadas , la combinación de técnicas VLAN hopping+arp cache poisoning, decodificación de VoIP en un canal encriptado WEB, etc. La interpretación de resultados obtenidos es libre a los usuarios y no está limitada al criterio con la que se concibieron otros programas. Por ejemplo, a diferencia de nmap o hping que al hacer un escaneo, reducen las opciones del estado de los puertos a open, closed o filtered. Scapy muestra una lista de los puertos analizados luego del envío de paquetes, recibir las respuestas y comparar los resultados Comandos y funciones Los comandos de mayor utilidad de scapy son ls() y lsc(), esta última lista todas las funciones disponibles en Scapy, de ellas las más importantes son: En la capa 3: sr, para enviar y recibir paquetes de nivel 3 y sr1, para enviar paquetes de nivel 3 y recibir la primera respuesta, entre otros. En la capa 2: sendp, srp, srploop y srp1, permiten enviar y recibir paquetes a nivel 2; la p significa PF PACKET, que es la interfaz de Linux que permite enviar paquetes en este nivel Funciones genéricas Net, IP, ICMP, TCP, Ether, etc. Ver por ejemplo en la figura 4.2 la ejecución del comando que lista la función IP Base analisys and secutiry engine o BASE BASE es un front end de Snort (y en general, de una variedad de herramientas de monitorización como firewalls o demás IDSs), escrito en PHP, que realiza búsquedas en\n35 Capítulo 4. Implementación del Escenario 27 Figura 4.2: Listado de elementos de un paquete IP en Scapy a través de la función ls las bases de datos que almacenan los eventos de seguridad registrados, procesándolos para mostrarlos cómodamente a través de su interfaz. Un diagrama general de los elementos que lo conforman se puede apreciar en la figura 4.3 y de uno distribuido en la 4.4. BASE es el sucesor de otro sistema denominado Analysis Console for Intrution Databases (ACID) Herramientas de virtualización VirtualBox VirtualBox es un conjunto de productos de virtualización multiplataforma de sistemas x86 para uso corporativo y doméstico , que presenta una variedad de características interesantes y un buen desempeño para máquinas virtuales con Linux. Es además, una de las pocas o probablemente la única solución profesional disponible como software libre Características El programa anfitrión o host se puede ejecutar además de en Linux, en Windows, Macintosh y OpenSolaris.\n36 Capítulo 4. Implementación del Escenario 28 Figura 4.3: Diagrama de un escenario de congifuración Snort+BASE Figura 4.4: Diagrama de un escenario distribuido de Snort\n37 Capítulo 4. Implementación del Escenario 29 Soporta múltiples sistemas operativos invitados o guests: Linux (2.4 y 2.6), Windows (NT 4.0, 2000, XP, Server 2003, Vista), DOS/Windows 3.x, Solaris y Open- Solaris, OpenBSD, etc. Su diseño es modular además de cliente/servidor, con esto último es posible controlar muchas interfaces de una sola vez. Dispone de interfaces internas bien definidas. Las características de configuración de las máquinas virtuales son almacenadas completamente en XML y son independientes de las máquinas locales, esto hace admisible trasladar las máquinas virtuales a distintos anfitriones. Los sistemas invitados Linux (y Windows) disponen de un software especial (en nuestro caso el VBoxLinux additions) que al ser instalado permiten mejorar significativamente su desempeño y hacer la integración más fácil y sin dificultades, por ejemplo la integración con el puntero del ratón y las soluciones de pantalla arbitraria o redimensionamiento. Las carpetas compartidas son otras características de las plataformas de virtualización, en el caso de VirtualBox, su uso permite el intercambio sencillo de ficheros, al declarar qué directorios específicos en el anfitrión serán usados como directorios compartidos. VirtualBox destaca, por decirlo de alguna forma, por tener además algunas características exclusivas como por ejemplo, los controladores virtuales de USB, permitiendo una conectividad arbitraria de dispositivos USB en las máquinas virtuales sin necesidad de instalar drivers específicos en el anfitrión. Soporte del protocolo de escritorio remoto, Remote Desktop Protocol, permitiendo la ejecución remota de la máquina virtual Implementación del escenario Instalación y configuración de VirtualBox Tal como se ha mencionado anteriormente, el sistema anfitrión para VirtualBox funciona en distintos sistemas operativos, como Windows XP, Linux y, evidentemente en Solaris. Para los propósitos de este proyecto, también ya descritos, respecto a la interoperabilidad del escenario de virtualizaciónn y de los programas Open Source utilizados, se utiliza como sistema anfitrión Ubuntu 8.10.\n38 Capítulo 4. Implementación del Escenario 30 Figura 4.5: Instalación de VirtualBox Instalación A continuación el procedimiento de instalación para Linux Instalamos los paquetes correspondientes a través del apt: apt-get install virtualbox Durante ésta se ha de compilar el módulo de kernel vboxdrv (figura 4.6) y luego, crear el grupo vboxusers (figura 4.7). La interfaces de red del anfitrión serán asignadas a este grupo Creación y configuración de máquinas virtuales Se han de seguir los siguientes pasos a través del New Vitual Machine Wizard, figura 4.8: Elegir el sistema operativo y colocar el nombre de la nueva máquina virtual: figura 4.9. Seleccionar cuánta memoria consumirá ésta, en nuestro caso 256 MB: figura En términos generales, la memoria total de las máquinas guests no debería de superar la memoria física del host. El siguiente paso es seleccionar qué disco virtual usará esta máquina. De no existir éste, es posible crear uno nuevo a través del New Virtual Disk Wizard.\n39 Capítulo 4. Implementación del Escenario 31 Figura 4.6: Compilación del módulo de kernel vboxdrv Figura 4.7: Creación del grupo de usuarios de VirtualBox Al crear un nuevo disco, seleccionamos el tipo de disco de expansión dinámica, Image type del disco virtual, figura 4.12, en el siguiente paso se elige el nombre y tamaño de este disco virtual (8 GB), figura Instalación de herramientas y programas de uso general Para el caso de este proyecto, Snort registrará la información de las alertas en una base de datos MySQL, denominada snort. La elección de MySQL radica en que es el gestor de base de batos Open Source má popular y por ende, en donde Sourcefire brinda mayor\n40 Capítulo 4. Implementación del Escenario 32 Figura 4.8: Inicio del New Vitual Machine Wizard Figura 4.9: Selección del SSOO y del nombre de la VM soporte. Para ello será necesario la instalación Snort compilado con MySQL, Apache2, php5 y otros paquetes complementarios para su funcionamiento adecuado. La instalación del resto de estas herramientas la podemos hacer de forma sencilla desde el apt. apt-get install nmap apt-get install wireshark apt-get install scapy\n41 Capítulo 4. Implementación del Escenario 33 Figura 4.10: Asignación de la RAM Figura 4.11: Inicio del Create New Virtual Disk Configuración de Snort + BASE para el escenario Instalación y preconfiguración de mysql y snort-mysql Para la instalaón se snort y mysql-server bastará con ejecutar los siguientes comandos: apt-get install mysql-server-5.0 apt-get install snort-mysql Al instalar este último, de forma opcional, se nos pedirá definir la HOME NET o red local 4.16\n42 Capítulo 4. Implementación del Escenario 34 Figura 4.12: Elección del tipo de imagen Figura 4.13: Elección del nombre y tamaño del nuevo disco virtual Se creará la BBDD en MySQL con un usuario propio (denominado, también snort), el cual dispondrá de privilegios adecuados para la obtención y escritura de datos. Con el usuario root crearemos, a través de los siguientes comandos, la base de datos denominada snort. En la figura 4.17 se observa el resultado tras la ejecución de un show databases en MySQL, luego de crear la BBDD snort.\n43 Capítulo 4. Implementación del Escenario 35 Figura 4.14: Creación de un nuevo disco virtual - Sumario Figura 4.15: Creación de una máquina virtual en VB Figura 4.16: Definición de la red interna en la instalación de Snort\n44 Capítulo 4. Implementación del Escenario 36 Figura 4.17: Ejecución de un show databases en MySQL, luego de crear la BBDD snort Figura 4.18: Comprobación de la correcta exportación del script create mysql mysql> SET PASSWORD FOR peru ) mysql> create database snort; mysql> grant INSERT,SELECT on root.* to mysql> SET PASSWORD FOR peru ) mysql> grant ALL on snort.* to Posterioremente exportamos las tablas y campos a la base de datos snort, a partir del script create mysql proveído por Sourcefire . mysql -u root -p < /etc/snort/schemas/create_mysql snort Una comprobación de la correcta configuración se puede ver en la figura 4.18: Además, hemos de instalar los siguientes paquetes para que BASE pueda funcionar correctamente. apt-get install libmysqlclient15-dev apt-get install bison apt-get install flex apt-get install apache2 apt-get install libapache2-mod-php5 apt-get install php5-gd apt-get install php5-mysql apt-get install libphp-adodb apt-get install php-pear Descargamos el paquete base tar.gz y lo descomprimimos en la ruta de /var/www/web, es necesario, asimismo, otorgarle los permisos de escritura y lectura pertinentes.\n45 Capítulo 4. Implementación del Escenario 37 Figura 4.19: Configuración Web de BASE - Inicio Figura 4.20: Configuración Web de BASE - Paso 1 tar -xvzf base tar.gz mv base /var/www/web chmod 757 /var/www/web/base Configuración vía Web Para completar la instalación de BASE, hemos de acceder, a través del navegador a la ruta en la que está contenido en el fichero de configuración de BASE, de esta forma se nos muestra una pantalla el inicio de este programa (en la figura 4.19 se inicia el programa pero se nos muestra dos errores, generados por no darle correctamente los permisos de escritura a la carpeta correspondiente). La instación se completa tras cinco pasos: el primero sirve para la selección del idioma y de la ruta del paquete ADODB (figura 4.20), en el segundo paso se selecciona el tipo de gestor de base de datos (MySQL, en nuestro caso), y la información de nuestra base de datos snort ya creada (figura 4.21), en la tercera etapa, se autentica el usuario del sistema (figura 4.22)y en el cuarto se crean las tablas que soportan la funcionalidad de BASE(figura 4.23), finalmente, si se ha configurado correctamente tendremos el front-end funcionando adecuadamente (figura 4.24).\n46 Capítulo 4. Implementación del Escenario 38 Figura 4.21: Configuración Web de BASE - Paso 2 Figura 4.22: Configuración Web de BASE - Paso 3 Figura 4.23: Configuración Web de BASE - Paso 4\n47 Capítulo 4. Implementación del Escenario 39 Figura 4.24: Configuración Web de BASE - Paso 5 Figura 4.25: Instalación del Virtualbox Guess Adittions Para evitar que se provoquen errores, instalamos también lo siguiente a través del repositorio para extensiones y aplicaciones de PHP, pear: pear install Mail pear install Mail_Mime Al mismo tiempo, es importante instalar el paquete de Virtuabox guess additions (figura 4.25), para que el uso de las máquinas virtuales sea más manejable y hacer la integración más fácil y sin fisuras Clonación y backup de discos duros en VirtualBox Ya que el escenario requiere la creación de múltiples máquinas virtuales, lo que se hará es crear y configurar una de ellas, y posteriormente reproducir su disco duro y crear nuevas máquinas a partir de este disco.\n48 Capítulo 4. Implementación del Escenario 40 Figura 4.26: Clonación de una VM con el VBoxManage Sin embargo, la clonación de discos en Virtualbox se ha de hacer a través de comandos específicos del VBoxManage, ya que no es posible hacerlo de forma manual (copiando y pegando los discos duros) ya que cada máquina tiene un identificdor único UIDD (Universally Unique Identifier) y al realizar una copia se exportan todas estas características. Los comandos son: Clonevdi para clonar un disco duro para una nueva máquina cambiando su UUID. En la figura 4.26 se puede ver la ejecución de éste. VBoxManage clonevdi <fuente> <destino> Clonehd para hacer backups sin cambiar el UUID. VBoxManage clonehd <uuid> <fuente> <destino> Asignación de propiedades de red en las VMs Al utilizar el Host Interface Networking o HIF, se crea una interfaz en software en el anfitrión, la cual existirá en paralelo con las interfaces regulares de la máquina anfitrión. Para los propósitos del proyecto, utilizaremos la subred privada /30, como red interna, es decir a la que se pretende proteger con Snort.\n49 Capítulo 4. Implementación del Escenario Escenario de pruebas Para el escenario de pruebas utilizaremos tres máquinas, una física y las otras dos virtuales, en ambos casos éstas tienen instaladas Ubuntu 8.10: alan-laptop: máquina física, instalación de nmap, scapy y wireshark, IP: /24 kimsa: máquina virtual, instalación y configuración de Snort 2.7 y BASE y todos los paquetes que éste requiere; además de Wireshark, IP: /24 hanu: máquina virtual, instalación de Snort 2.6, nmap, scapy y Wireshark. IP: /24\n50 Capítulo 5 Ejecución de Pruebas y Análisis de Resultados 5.1. Escaneos con nmap y scapy Tal como se ha referido anteriormente, nmap permite hacer múltiples tipos de escaneos con propósitos específicos, a través del envío de paquetes TCP con algunos flags activados hacia el objetivo, y esperando unas respuestas que permitan interpretar su estado. Para esta primera prueba, es importante recordar los campos que conforman la cabecera TCP que se pueden ver en la figura 5.1, dentro de estos nmap utiliza el campo de flags (figura 5.2) para el escaneo de puertos y redes . Nmap puede ejecutar dos tipos básicos de escaneo de puertos: TCP Connect -st TCP SYN -ss Figura 5.1: Campos en la cabecera TCP 42\n51 Capítulo 5. Ejecución de Pruebas y Análisis de Resultados 43 Figura 5.2: Campo flags en la cabecera TCP Figura 5.3: Proceso de escaneo TCP Connect Figura 5.4: Proceso de escaneo TCP-SYN En ambos casos, se envían paquetes TCP con el flag SYN activado y se espera como respuesta de parte del objetivo un paquete con los flags SYN y ACK activados para determinar que el puerto está abierto o con el RST activo para concluir que está cerrado o filtrado. La diferencia en ambos consiste en que en el primero, en el cual no son necesarios privilegios de superusuario para su realización, de recibirse un paquete con SYN y ACK activos se completaría la conexión TCP enviando al objetivo un paquete con el flag ACK activo, para luego cortarla con un reset (ver figura 5.3). En el caso del TCP SYN, de recibirse como respuesta un paquete con los flags SYN y ACK activos, en vez de completar la conexión con el equipo escaneado, se envía un RST y se corta el proceso de three-way handshake iniciado (ver figura 5.4). Por esto, la gran ventaja del escaneo TCP SYN o también conocido como escaneo sigiloso, es que su actividad no será registrada por los equipos de protección del equipo objetivo, como conexiones TCP exitosas; muy a pesar de ello, los dispositivos actuales de seguridad de contorno son capaces de detectar los escaneos sigilosos, como, por ejemplo, Snort.\n52 Capítulo 5. Ejecución de Pruebas y Análisis de Resultados 44 Figura 5.5: Escaneo TCP Connect contra Kimsa A continuación se muestran los resultados obtenidos por Snort al lanzar diferentes de estos tipos de escaneos TCP-SYN Escaneo nmap Tenemos que: Equipo atacante : (alan-laptop) Equipo a escarnear u objetivo 1: (hanu) Equipo a escarnear u objetivo 2: (kimsa) Subred del objetivo: /30 Dentro del fichero de configuración de Snort en Kimsa, definimos: var HOME_NET /30 var EXTERNAL_NET!$HOME_NET Entonces se realizará lo siguiente: alan-laptop: Ejecución de escaneo TCP Connect, ver el resultado obtenido en la figura 5.5. Kimsa: Ejecución de snort como daemon con #snort -c /etc/snort/snort.conf -i eth2 -D El resultado obtenido es que el escaneo ha producido cinco alertas que se pueden ver a través de BASE, listadas en la figura 5.6. En las siguientes figuras, la 5.7, la 5.8 y la 5.9 se observan las descripciones detalladas que elabora Snort al registrar las alarmas.\n53 Capítulo 5. Ejecución de Pruebas y Análisis de Resultados 45 Figura 5.6: Alarmas generadas tras escaneo TCP Connect contra Kimsa Figura 5.7: Descripción de alarma Open Port 20 Figura 5.8: Descripción de alarma TCP Port Scan\n54 Capítulo 5. Ejecución de Pruebas y Análisis de Resultados 46 Figura 5.9: Descripción de alarma SNMP AgentX/request Escaneo con Scapy Con Scapy es posible componer los campos de un paquete TCP. Por ello, a modo de prueba, haremos un escaneo TCP-SYN sólo al puerto 22 de Kimsa desde alan-laptop, tal como se observa en la figura 5.10, hemos construído un paquete IP con destino Kimsa ( ), dentro de un TCP cuyo puerto destino es el 22 y el campo de flags está activado en 2, es decir el flag SYN está tiene el valor de 1. Una vez conformado el paquete se envía al destino y se espera su respuesta, esto se hace a través de la función sr de Scapy; al analizar esta respuesta y tal como se observa se ha recibido un paquete TCP desde Kimsa hacia alan-laptop, con los flags SYN y ACK activos, esto quiere decir que el puerto acepta la conexión que pretendimos iniciar al principio, es decir, que el puerto ssh está abierto. Al comprobar si es que Snort ha registrado algún tipo de alarma al respecto de esta última prueba se observa que se generado una de MISC Source Port 20 to < 1024, figura 5.11, donde 20 es el puerto origen por defecto que utiliza Scapy al formar paquetes TCP. Para evitar esta alarma basta con que al momento de formar el paquete TCP con Scapy se le pongo como puerto fuente un valor mayor a 1024, como se hizo en la siguiente prueba con sport=1025, ver figura Con esto se consigue evitar esta alerta.\n55 Capítulo 5. Ejecución de Pruebas y Análisis de Resultados 47 Figura 5.10: Composición y envío del paquete TCP con el flag SYN activo y puerto destino 22 Figura 5.11: Alarma MISC Source Port 20 to < 1024 generada al enviar el paquete TCP con puerto origen 20 Figura 5.12: Composición y envío del paquete TCP con el flag SYN activo, puerto fuente 1024 y puerto destino 22\n56 Capítulo 5. Ejecución de Pruebas y Análisis de Resultados 48 Figura 5.13: Composición y envío del paquete TCP con el flag SYN activo, puerto fuente 1024 y puerto destino 22 Lo que a continuación se hará será, a través de un bucle en Scapy, emular un escaneo TCP-SYN a todos los puertos hasta el 1024 de Kimsa con los siguientes comandos: for port in range (1,1024): tcpconnect = IP(dst= )/TCP(sport=1025, dport=port, flags=2) sr(tcpconnect) Snort detecta esta actividad generando siete alertas, como se observa en la figura 5.13 Ahora bien, una vez hemos determinado cómo emular un escaneo TCP-SYN de nmap con Scapy, y tener en cuenta que Snort, ejecutándose como daemon en Kimsa, detecta ambos, se ha comprobado empíricamente, que al hacer un escaneo de este tipo a puertos específicos con Scapy, en vez de un bucle utilizamos un arreglo para representar a los puertos, es posible evadir Snort: Puertos con que es posible la vulneración de Snort: 21, 23, 25, 56, 80, for port in [21, 23, 25, 56, 80, 3389]: tcpconnect = IP(dst= )/TCP(sport=1025, dport=port, flags=2) sr(tcpconnect) 5.2. Alteración en los ttls de paquetes ICMP fragmentados Revelada una vulnerabibilidad en las versiones 2.8 y 2.6 de Snort , que permitiría sobrepasar transparentemente Snort siempre que se fragmenten paquete con la condición de que la diferencia entre ellos sea mayor que el tamaño máximo configurado, por defecto el valor de éste es 5. Es decir, teniendo un paquete TCP f, enviado con propósitos nocivos desde un dispositivo intruso y f[x] fragmentos de éste:\n57 Capítulo 5. Ejecución de Pruebas y Análisis de Resultados 49 f=frag1 f=frag2 f=frag3.. y dif1 = frag2-frag1 dif2 = frag3-frag2.. Los paquetes sean desechados por Snort y por tanto no se les aplicará el análisis apropiado, siempre que: dif1, dif2,... > ttl_maximo Haciendo un prueba en nuestro sistema virtual desde alan-laptop hacia Kimsa (recordemos que ésta tiene instalado y ejecuta la versión 2.7 de Snort), a través de Scapy generamos y enviamos un paquete ICMP con destino Kimsa y con una carga de 128 bytes y los enviamos con la función send, que es la que envía paquetes a nivel 3. Ver los siguientes comandos: pq = IP(dst= )/ICMP()/Raw( x *5) send (pq) Con esto no se detecta actividad maliciosa por parte de Snort y se deja pasar el paquete libremente, de darse el caso se hubiera reconocido esta actividad dentro del payload, pero no en la cabecera. Ahora bien, fragmentándolo y alterando sus valores de ttl de acuerdo a los criterios descritos más arriba, definimos 64 bytes a cada fragmento (tendremos tres de ellos) y a cada uno le fijamos diferentes valores de ttl y los enviamos con el comando send(fg), como se observa a continuación: pq = IP(dst= )/ICMP()/Raw( x *48) fg = fragment(pq,64) fg.ttl = 64 fg.ttl = 255 fg.ttl = 64 send (fg) Al enviarlos, curiosamente, conseguimos que Snort detenga su ejecución, generando un error de Segmentation fault, es decir para nuestro escenario bastaría que un atacante\n60 Capítulo 5. Ejecución de Pruebas y Análisis de Resultados 52 alert tcp $EXTERNAL_NET any -> $HTTP_SERVERS $HTTP_PORTS \_ (msg:"actividad registrada en ebuddy";\_ flow:to_server,established; uricontent:"login_nav.js";sid: ;) alert tcp $EXTERNAL_NET any -> $HTTP_SERVERS $HTTP_PORTS \_ (msg:"actividad registrada en ebuddy";\_ flow:to_server,established; uricontent:"code.js";sid: ;) alert tcp $EXTERNAL_NET any -> $HTTP_SERVERS $HTTP_PORTS \_ (msg:"actividad registrada en ebuddy";\_ flow:to_server,established; uricontent:"proto_comp.js";sid: ;) alert tcp $EXTERNAL_NET any -> $HTTP_SERVERS $HTTP_PORTS \_ (msg:"actividad registrada en ebuddy";\_ flow:to_server,established; uricontent:"tooltip.js";sid: ;) alert tcp $EXTERNAL_NET any -> $HTTP_SERVERS $HTTP_PORTS \_ (msg:"actividad registrada en ebuddy";\_ flow:to_server,established; uricontent:"bigint.js";sid: ;) alert tcp $EXTERNAL_NET any -> $HTTP_SERVERS $HTTP_PORTS \_ (msg:"actividad registrada en ebuddy";\_ flow:to_server,established; uricontent:"barrett.js";sid: ;) alert tcp $EXTERNAL_NET any -> $HTTP_SERVERS $HTTP_PORTS \_ (msg:"actividad registrada en ebuddy";\_ flow:to_server,established; uricontent:"rsa.js";sid: ;) alert tcp $EXTERNAL_NET any -> $HTTP_SERVERS $HTTP_PORTS \_ (msg:"actividad registrada en ebuddy";\_ flow:to_server,established; uricontent:"randomgen.js";sid: ;) alert tcp $EXTERNAL_NET any -> $HTTP_SERVERS $HTTP_PORTS \_ (msg:"actividad registrada en ebuddy";\_ flow:to_server,established; uricontent:"index_utils.js";sid: ;) Al ejecutar varias pruebas de esta regla se puede deducir que de acuerdo con estas reglas escritas, la utilización de actividad de este tipo provocará la generación y el registro de la alarma sólo una vez, hasta el cierre de la conexión.\n61 Capítulo 5. Ejecución de Pruebas y Análisis de Resultados 53 Figura 5.15: Conexiones simultaneas a ebuddy Esto permitiría, por ejemplo, que se realicen dos o más conexiones a ebuddy (sería posible sólo desde distintos navegadores 5.15), registrando sólo el primer acceso a él, se mire como se mire, Snort estaría revelando esta actividad indeseada pero no la cantidad de ésta.


Isaiah Thomas, de su mejor año a dos traspasos en siete meses – TAB Deportes\nIsaiah Thomas, de su mejor año a dos traspasos en siete meses\nMonday, February 12, 2018 Monday, February 12, 2018 by Manolo Rodriguez\nIsaiah Thomas llegó a la histórica franquicia de los Celtics de Boston en la temporada 2014-2015. El armador comenzó su carrera con los Kings de Sacramento y luego jugó para los Suns de Phoenix, antes de ser cambiado a Boston.\nThomas comenzaba a coger confianza y a convertirse en un gran anotador en la mejor liga del mundo. En su tercer año en la liga, jugando para los Kings, Isaiah promedió 20.3 puntos y 6.3 asistencias por partido. Pero, por su tamaño, los equipos no lo veían.\nPrevEstrenan nueva pelota\nNextConfirmada la sede de la final de Copa Barça-Sevilla


ua = CCBot/2.0 (http://commoncrawl.org/faq/) Visite Croacia en autobús- Viajes económicos a Croacia en autocar\nReservar Ahora por Croacia\nPara viajar dentro de Croacia Haga clic aquí\nLa República de Croacia es un país europeo situado junto al mar Adriático y se extiende hacia el interior. Se extiende desde las laderas de los Alpes, adentrándose en el valle Panonia hasta las riberas de los ríos Danubio y Drava.\nAsí pues, en función de sus características naturales, así como su desarrollo cultural e histórico, Croacia puede dividirse en tres zonas geográficas distintas:\n- la región costera\n- la región montañosa\n- la región de Panonia\nLe invitamos a descubrir y disfrutar de la belleza de Croacia, su clima suave, las aguas cristalinas y cálidas de su mar, sus hermosas playas y sus paisajes naturales vírgenes, combinados con su rico patrimonio histórico y cultural, una deliciosa cocina y buenos vinos y, sobre todo, la amabilidad y cercanía de sus gentes.\nZagreb es una antigua ciudad del centro de Europa. Durante siglos fue un punto de referencia de la cultura y la ciencia, y ahora es también es un centro del comercio y la industria. Está situado en la intersección de varias rutas importantes entre la costa del Adriático y Europa central.\nEn el año 1991, Zagreb se convirtió en capital: en el centro político y administrativo de la República de Croacia. Zagreb es también el centro de la vida comercial, académica, cultural, artística y deportiva de Croacia. Numerosos científicos, artistas y atletas famosos proceden de esta ciudad o trabajan en ella. Zagreb puede ofrecer a sus visitantes la atmósfera barroca de la Ciudad Alta, pintorescos mercados al aire libre, diversos centros comerciales, una abundante selección de productos artesanales y una variada cocina típica de la región. Zagreb es una ciudad de parques y paseos verdes, con muchos lugares que visitar y un entorno de gran belleza. La ciudad entrará en el tercer milenio con una población de un millón de habitantes. A pesar del rápido desarrollo de la economía y el transporte, ha conservado su encanto y un ambiente relajado que la convierten en una ciudad muy humana.\nAutotrans y Eurolines\nFundada en 1974 como una empresa de autobuses con sede en Rijeka, en la actualidad Autotrans da empleo a 1.000 personas y cuenta con una flota de 400 autobuses y autocares.\nAdemás de su servicio regular y el transporte público de pasajeros en líneas nacionales e internacionales, Autotrans también se dedica al turismo, el transporte comercial y la reparación y mantenimiento de vehículos, así como a la gestión de bienes. Al tratarse de la única empresa de autobuses de Croacia incluida en la International Coach Transport Association - Eurolines Autotrans puede ofrecer una amplia gama de posibilidades de transporte dentro de su red de autobuses, la mayor de Europa.\nEl Departamento de Turismo tiene sus oficinas centrales en Rijeka y cuenta con otras oficinas en Rijeka, Opatija, Krk, Cres, Crikvenica, Senj, Rab, Pula, Zadar, Osijek, Požega y Slav. Durante todo el año Brod y Đakovo organizan excursiones, traslados, tours guiados, salidas de aventura, conferencias y congresos y gestionan alojamiento en hotel y privado.\nActivities in Croacia


Book of Hakakian, Roya 9788474268966\nHakakian, Roya, (aut.)\nPejó Orellana, Albert, (tr.)\nISBN: 8474268966 ISBN-13: 9788474268966\nTraducción del inglés: Albert Pejó\nEn Viaje desde la tierra del no, Roya Hakakian rememora con candor e intensidad su niñez y adolescencia en el Irán del Sha. El resultado es un relato exquisitamente escrito del tránsito a la adultez de una niña inteligente y perceptiva en su búsqueda de una voz propia y auténtica. De forma notable describe, con enorme sinceridad y, en ocasiones, gran sentido del humor, el cambio cultural, político e intelectual de un país que intenta huir de un gobierno corrupto y represivo hacia una revolución que dejará por el camino las ilusiones de una nueva generación traicionada en sus ideales.\nRoya Hakakian tenía doce años en 1979, cuando estalló la revolución en Teherán. Hija de un apreciado poeta judío, creció en un ambiente intelectual marcado por el “exilio” de dos de sus hermanos perseguidos por la policía del Sha. Con la inocente confusión de una niña, Roya pasa de la ilusión del cambio al desconcierto de ver cómo las promesas de un mundo nuevo se transforman en otro tipo de represión más intolerante. Hakakian describe de manera conmovedora y, por momentos, desgarradora, uno de los momentos más importantes de la historia de Oriente Medio a través de la mirada de una valiente y optimista joven.\nLos trastornos políticos como la caída del Sha de Persia y la ascensión del fundamentalismo islámico pueden ser infinitamente analizados por los especialistas, pero el relato de quienes, como Hakakian, han sido testigos directos de esos acontecimientos nos ayudan a entender de primera mano cómo fue esa revolución... Su historia es inolvidable.\nNació en Teherán en 1966, tuvo que abandonar Irán junto a su familia en 1985, y se instaló en Estados Unidos. Es autora de dos libros de poesía y productora, guionista y realizadora de varios documentales, entre los que destaca “Armed and Innocent”, sobre los niños de la guerra, para Unicef. Roya Hakakian es, asimismo, miembro del University’s Whitney Humanities Center y socia fundadora de Refugees International.\nPara más información sobre la autora: www.royahakakian.com\nOther Clients who bought Viaje desde la Tierra del No , also bought:


Escuelas de Puebla y Tlaxcala sin libros de texto a dos semanas de clases: Conaliteg - Urbano | Noticias Mexico\nEscuelas de Puebla y Tlaxcala sin libros de texto a dos semanas de clases: Conaliteg\nLa Conaliteg registra un avance de entrega del 81 por ciento en Puebla y del 83 por ciento en Tlaxcala.\nLas clases a distancia del ciclo escolar 2020-2021 iniciaron el 24 de agosto. Lucía Pérez\nEn: Educación Por Lucía Pérez\tViernes, 11 Septiembre 2020 14:52\nA dos semanas del inicio del ciclo escolar a distancia 2020-2021, las y los alumnos de educación básica en Puebla y Tlaxcala aún no cuentan con los libros de texto gratuito, toda vez que la Comisión Nacional de Libros de Texto Gratuito (Conaliteg) sigue sin cumplir con el 100 por ciento del envío a los estados de la bibliografía.\nCon base a la información de la Conaliteg a través de la herramienta digital La Ruta de Tus Libros, en el estado de Puebla han sido recibidos a la fecha 7 millones 431 mil 974 ejemplares, lo que significa un avance en el estado del 81 por ciento, y resta el 19 por ciento de los más de 9 millones 177 mil 90 a distribuir a alumnas y alumnos de educación básica.\nEn el reporte de avance de distribución de libros de texto gratuitos el 10 de septiembre a las 22 horas, en Tlaxcala habían sido recibidos un millón 519 mil 375 ejemplares, que representan el 83 por ciento del total de un millón 847 mil 958, de los cuales faltan el 17 por ciento por llegar, principalmente los de nivel preescolar, primaria y de modalidad telesecundaria.\nLas clases a distancia del ciclo escolar 2020-2021 iniciaron el 24 de agosto, y a dos semanas de clases las y los alumnos aún no tienen en sus manos los libros de texto gratuitos.\nEn el caso de Tlaxcala, la Secretaría de Educación Pública (SEPE) informó que hasta que llegue el 100 por ciento de los ejemplares empezarán a distribuirse en las escuelas con la implementación de las medidas sanitarias para evitar contagios de coronavirus.\nAdemás, recordó que los libros que ya se entregaron son los de Secundarias Generales y Técnicas, lo que se realizó del 30 de julio al 5 de agosto, atendiendo a 139 escuelas, y con ello beneficiar a más de 53 mil alumnos.


GALERÍA: Así habría sido el encuentro de Kate y Sean Penn con 'El Chapo' - Ay Ojón\nGALERÍA: Así habría sido el encuentro de Kate y Sean Penn con 'El Chapo'\nA través de redes sociales y medios nacionales circula una serie fotográfica que supuestamente revela los instantes previos en que Kate del Castillo y Sean Penn se encontraron con Joaquín 'El Chapo' Guzmán.\nUna de las primeras capturas muestra a la actriz en el restaurante de un hotel sentada junto a Andrés Granados y Óscar Manuel Núñez, abogados de 'El Chapo'.\nMás adelante Kate sube a una camioneta escoltada por los defensores del entonces prófugo. La descripción de El Universal afirma que los juristas le entregaron un móvil a la fémina para que pudiera comunicarse con Guzmán.\nSegún el mismo periódico, Kate y Sean Penn arribaron juntos a México el pasado 2 de octubre de 2015, de Guadalajara se trasladarían a Tepic, Nayarit.\nPosteriormente ambos viajarían a bordo de una avioneta con destino a la región conocida como "Triángulo Dorado" para reunirse con Joaquín Guzmán Loera.\nLas instantáneas muestran todo el supuesto recorrido de las celebridades desde su llegada a territorio nacional hasta su traslado a tierras sinaloenses para su posterior encuentro con el capo. El material incluye incluso el despegue de la aeronave con destino a Sinaloa, así como el terreno donde habría aterrizado.\nTodo parece indicar que las fotos fueron tomadas con ayuda de un telefoto, pues los objetivos notablemente se encuentran a un lejana distancia.\nTambién se señala que las imágenes fueron capturadas presuntamente por elementos de inteligencia del gobierno mexicano y divulgadas por el diario El Universal.\nTags: Chapo Guzman Joaquin Guzman Loera EPN Peña Nieto Mexico Sean Penn Kate del Castillo


Guía Segunda Oportunidad - Abogados Tarragona Badia Advocats\nGUIA SEGUNDA OPORTUNIDAD.pdf (172 Descargas)\nCon la entrada en vigor del Texto Refundido de la Ley Concursal el pasado mes de Septiembre, se han consolidado una serie de novedades por lo que hace al trámite necesario para la consecución del Beneficio de Exoneración del Pasivo Insatisfecho (BEPI), objetivo final de todo lo que se conoce como “Segunda Oportunidad”.\nCiertamente, pese a que la opción de la Segunda Oportunidad nace en el año 2015, la realidad es que hasta hace escasos meses, el tema no se ha convertido en una opción para miles de personas a la hora de afrontar una situación critica debido a las consecuencias económicas que ha comportado la propia debacle sanitaria.\nEn la guía que adjuntamos se intenta dar respuesta, de manera resumida, a los diferentes trámites y opciones hasta la finalización y obtención del BEPI, si bien, el asesoramiento personificado seguirá siendo vital para la consecución del fin requerido. Es evidente que la normativa tiene, aún, algunas lagunas que deberán solventarse vía jurisprudencial y, finalmente, con la homologación en España de la Normativa Europea; en todo caso, el camino a recorrer no será fácil, pero sí constituye una alternativa de esperanza para muchas personas que han visto en peligro, no solo su patrimonio, sino la propia viabilidad personal.


Caja fuerte bluetooth amazon - CajaFuerte.eu\nQuizá hayas visto viviendas o bien negocios donde hay caja fuerte bluetooth amazon para proteger objetos de valor como joyas, dinero o bien documentos importantes, es habitual, ya que contribuye una gran tranquilidad al dueño entender que sus objetos apreciados están seguro.\nUna caja fuerte o bien caja de seguridad es un compartimiento de seguridad concebido para que su apertura sea muy difícil a personas no autorizadas y de este modo poder guardar elementos de valor.\nLa mayor variedad de caja fuerte bluetooth amazon\nAunque su valor económico sea irrisorio, muchas veces tenemos objetos que tienen un gran valor sensible. Si tienes algún objeto verdaderamente preciado que no quieres perder de vista, guárdalo en una caja fuerte. Se da a los clientes un servicio personalizado, íntegro y excepcional. Garantizamos un espacio seguro para sus recursos más preciados y importantes en su caja de seguridad privada. poner su seguridad en nuestro centro, una combinación de la preferible tecnología en seguridad, adjuntado con el servicio superior profesional de nuestro privada altamente preparado.


'Selena: la serie': Netflix ya tiene a la actriz que interpretará a la Reina del Tex Mex - Noticias de series - SensaCine.com.mx\n'Selena: la serie': Netflix ya tiene a la actriz que interpretará a la Reina del Tex Mex\nPor Octavio Alfaro — 20/8/2019 a las 17:59\nSe trata de una de las protagonistas de 'The Walking Dead'.\nNetflix está preparando una nueva producción original basada en una cantante famosa en su tiempo y que aún suena en algunas radios en México y Estados Unidos: Selena: la serie. En ella volverán a contar la historia de la compositora, pero ahora en la pantalla chica. Si bien, hace tiempo el servicio de streaming hizo oficial el anuncio con el lanzamiento del logotipo oficial, no se sabían más detalles al respecto hasta ahora.\nSelena: La serie Tráiler\nDe acuerdo con información de The Hollywood Reporter, la producción ha encontrado a su protagonista en Christian Serratos, aunque faltan pulir algunos detalles para que la contratación sea oficial. Ella es conocida por su papel de Rosita Espinoza en The Walking Dead, serie en la que ha participado desde hace cinco años. Justo hablando de la producción de zombies, parece ser el impedimento principal para cerrar el acuerdo, ya que el calendario de grabaciones de ambos proyectos se empalma.\nActualmente están rodando los episodios de la décima temporada en Atlanta, sin embargo, la producción de Selena: la serie la quieren comenzar el próximo mes en México, por lo que aún deben resolver la disponibilidad de la actriz para grabar. De hecho, puede darse el caso de que los próximos episodios de The Walking Dead sean los últimos en los que participe Christian por obvias razones; sería otra baja para la producción y justo después del anuncio de la partida de Danai Gurira.\nRecordemos que Selena ganó un Grammy en 1994 y fue reconocida como la cantante con mayor número de discos vendidos en la historia de la música latina con sus más de 65 millones de álbumes vendidos. Sin embargo, después de 15 años de carrera musical, su ilusión y éxito se desvanecieron tras su muerte, resultado de varios impactos perpetrados por su mejor amiga y presidente de su club de admiradores: Yolanda Saldivar. Jennifer López ya le dio vida a la cantante en una biopic de 1997, mientras que el año pasado Maya Zapata interpretó a la artista en una serie para TNT. Aún no se tiene fecha de estreno para Selena: la serie.\n'El secreto de Selena': Damayanti Quintanar subió 18 kilos para su papel\n'El secreto de Selena': Maya Zapata nos platicó su experiencia como la reina del Tex Mex


Aceites SA y Palmaceites amplían su formación en ISOTools - Software ISO\nLos clientes de ISOTools en Santa Marta, Colombia, reciben una sesión de formación avanzada de ISOTools para potenciar los conocimientos de la herramienta.\nEl pasado día 3 de Diciembre se realizó una sesión de capacitación a ACEITES SA y PALMACEITES en Santa Marta, Colombia, con el objetivo de ampliar los conocimientos de ISOTools.\nEn dicha capacitación participó personal de ambas empresas, tanto del departamento de Calidad, como del departamento de Producción y Administrativo.\nLa sesión tuvo dos objetivos. Por un lado, presentar las mejoras incorporadas recientemente a la herramienta, producto de la evolución y mejora continua de la misma, y por otro lado, resolver las dudas que presentaban los miembros de ambas organizaciones con respecto a la misma.\nAceites SA, es una de las empresas con mayor proyección en el sector palmero colombiano, que desde que comenzó su andadura en el 1997, ha apostado por la excelencia y la mejora continua para ofrecer un producto de calidad.\nPalmaceites, se dedican a la extracción y comercialización de aceite crudo de palma aceitera y desde sus inicios ha buscado la excelencia de sus productos y el cumplimiento de los objetivos de calidad, mediante la mejora continua en todos los procesos.\nAmbas empresas están activamente comprometidas con la excelencia en sus productos y la satisfacción de sus clientes.


Clubmed Trancoso: Foro de Trancoso en TripAdvisor\nClubmed Trancoso: Foro de Trancoso\nVer los 26 temas sobre Trancoso »\n10 diciembre 2008, 21:19\nHola, viajo la ùltima semana de enero 2009 a club med Trancoso y quisisera saber si alguien estuvo ahì què tal la pasò, còmo lo atendieron, Viajo con mi esposo y nuestros hijos de 15, 11 y 1 año y medio. Cualquier comentario o sugerencia serà bien recibido, gracias.\nN.°3 de 13 hoteles en Trancoso\n"Muy lindo lugar. Ideal para vacaciones familiares. La pasamos bárbaro."\nGonzalo B 22 agosto 2017\nConsulta todos los 13 hoteles de Trancoso\n1. Re: Clubmed Trancoso\n10 diciembre 2008, 21:54\nHola Angie!! te acabo de responder en el foro de Orlando tambien! jajaja...\nYo estuve en Trancoso, es PRECIOSO! la playa es muy linda, aunque tal vez con un bebe te resulte incomodo bajar hasta alli porque son muchisimos escalones a traves de los acantilados, el entorno natural no tiene comparacion, pero el esfuerzo fisico es grande!\nHay unas combis cada media hora mas o menos que te llevan y traen en el caso q no puedas bajar por tus propios medios a la playa.\nNosotros cuando fuimos, desayunabamos y bajabamos a la playa hasta la hora del almuerzo, siempre en ese horario la animacion estaba abajo, para la hora de comer subiamos y no ya no volviamos, porque las actividades de la tarde ya eran en la piscina que esta arriba obviamente.\nEl Club Med es sensacional con respecto a la atencion de sus huespedes, tienen GOs (Gentiles Organizadores) que estan muy predispuestos a todo para que sean unas vacaciones inolvidables!\nTienen un muy lindo MiniClub, de comodo acceso, la comida como siempre de 1º nivel, ni te gastes en ir al restaurante a la carta pq no vale la pena, el buffet es mucho mejor!\nLos shows de la noche muy divertidos, con un teatro refrigerado, que eso se agradece mucho!\nTambien a la noche se arman juegos en el bar y despues se baila ahi (la discoteca no suele tener exito pq en general ese es un Med mas tranqui, que invita al relax)\nAh!! hay un spa...aprovechalo!\nSi podes alguna tarde escapate hasta el pueblo Trancoso que es muy pintoresco y mas lindo todavia Arraial D'Ajuda!\nEn resumen...a mi me encanto! Volveria feliz!!\nLlave mucho protector solar y gorras! (como en Orlando!!) y a este viaje sumale el repelente, pq hay muchos insectos, muy molestos y precaucion si tu bebe es alergico o esas cosas, pq son un blanco facil.\n2. Re: Clubmed Trancoso\n11 diciembre 2008, 14:57\nMuchas gracias por tu respuesta! Lo que vi por internet me pareciò muy lindo, mas con chicos de 15 y 11 que se aburren de todo, ahora me quedo mucho mas tranquila de uqe elegimos bien, es difìcil conformar a vtodos cuando las edades son dispersas, encima estoy preparando lo de Orlando y mi esposo no iaja porque no le gusta recorrer todo el dia parques, ahora paso al otro foro para leer tu respuesta, gracias otra vez, Angie\n3. Re: Clubmed Trancoso\n07 abril 2016, 09:17\nTrancoso ayuda 02 marzo 2017\ntrancoso 12 febrero 2017\nTransporte seguro en Trancoso 19 septiembre 2015\nSurf Trancoso 25 agosto 2015\nTrancoso en auto 03 abril 2015\nTodos los hoteles en Trancoso (13)


Los 10 memes más populares de 2017\nHace mucho que Internet ya no es un mero canal. Se ha convertido en una herramienta que utilizamos en nuestra trabajo, en nuestra vida privada y, por qué no, para entretenernos y divertirnos. Por eso, ha sido en Internet donde han nacido los memes, imágenes virales con gran difusión en las redes sociales. ¿Qué tiene que tener un meme para tener éxito? ¿Cuáles son los más importantes del año?\nMemes: qué son y cómo hacerlos\nLo primero que hay que tener en cuenta es la definición de ‘meme’. Podemos entenderlo como una manifestación virtual que trata de describir una idea, situación o pensamiento humorístico. Aunque fundamentalmente son imágenes, también puede presentarse en otros formatos como el texto, el vídeo o el GIF.\nEs difícil dilucidar las características que tiene que cumplir un meme para tener éxito. Pero, lo que sí está claro, es que debe representar un concepto con el que el usuario se identifique. Solo si los internautas sienten que forman parte del contenido, de la historia, le darán difusión a través de canales como las redes sociales.