Detección
Visto desde una punto
de vista negativo, los sniffers son programas informáticos
difíciles de detectar y combatir, ya que estos por lo general trabajan en modo
pasivo.
Las técnicas usadas
para la detección no son fiables aunque por lo general suponen un gran
aproximación al descubrimiento de este tipo de software en una red.
Técnicas de
detección.
Las técnicas más
conocidas con:
— Test DNS.
— Test ping.
— Test ICMP ping de latencia.
— Test ARP.
— Test Etherping.
Técnica de
detección Test DNS
Se crean numerosas
conexiones TCP falsas en un segmento de red, esperando que un posible sniffer
instalado atrape estas conexiones y resuelva la dirección IP de los hosts
inexistentes.
Técnica de
detección Test ping.
Se puede realizar una
petición tipo “ICMP echo” con la dirección IP
de la máquina que se sospecha que tiene un sniffer
instalado, pero con una dirección MAC errónea.
La mayoría de los
sistemas desatenderán esta petición ya que se trata de un equipo con una MAC
inexistente, pero al existir un sniffer este aceptará dicho
paquete como legítimo y por consiguiente responderá a la petición.
Técnicas de
detección Test ICMP ping de latencia.
Esta técnica se la
realiza con un ping al blanco y anotando el Round Trip Time (RTT Retardo de ida
y vuelta o tiempo de latencia).
Se crea muchas
conexiones falsas con un tiempo muy corto.
Se espera que es sniffer
procese estos paquetes y de existir uno,
el tiempo de latencia incrementará con relación a la primera medida.
Técnica de
detección Test ARP.
Se puede enviar una
petición ARP a un host sospechoso, con
toda la información posible excepto la de una dirección MAC verdadera.
Si existe un sniffer
en la máquina destino, esta contestará; caso contrario no lo hará ya que se
está enviando un paquete con una dirección MAC que no le pertenece.
PREVENCIÓN.
Para evitar que los sniffers
cumplan con su principal objetivo que es el de olfatear las contraseñas y en
general todo tipo de información sin cifrado, se deben utilizar técnicas o
sistemas conocidos por brindar mayor seguridad tales como:
- SSL
- SSH
