Hace unos días estuve de visita en una de esas empresas que suelo frecuentar para echar una mano y tuve la necesidad de ver que pasaba en su red. Dicha red siempre había ido fluida de trafico y todos podían navegar por internet para hacer su trabajo sin problemas de una manera rápida y eficaz.
Desde hacia ya una semana ninguno de los ordenadores que habían conectados con acceso a Internet podían a penas navegar y por mucho que llamaran a su proveedor de Internet ” ISP ” no encontraban respuesta alguna sobre el porque todo iba tan y tan saturado …
Todos los equipos cliente están conectados a un Switch y este hacia un Firewall, este ultimo tienes tres tarjetas de red de las cuales una es para el Switch, otra para el Servidor y la ultima que lo conecta hacia un Router que es transparente en la red por lo que el Firewall se encarga de hacer el enroutado de puertos y de dar salida a Internet.
Mirar las lucecitas del Switch para saber que ordenador tiene mas trafico no es efectivo en este tipo de empresas que no paran sus ordenadores las 24h y tienen que estar todos conectados al Servidor ya que el les provee de una base de datos que causa contante trafico en la red. Así a simple vista no se podía saber que o quien estaba causando tanto trafico como para que ningún ordenador pudiera navegar.
Una de las herramientas que hubiera incluido en el articulo Mis cinco programas imprescindibles (en GNU/Linux) sin duda alguna hubiera sido Ettercap. Esta herramienta nos permite en un momento dado saber que pasa en un ordenador en cuanto a la red se refiere ya que es un Sniffer que puede decirnos que está pasando a tiempo real y por supuesto si estamos sufriendo algún tipo de ataque.
Como podéis ver en todo el Blog no suelo hablar del tema Hacking, Cracking y cosas del estilo pirateo ya que no creo conveniente el que alguien con malas ideas pueda ver uno de mis artículos y ponerlos en practica. Muchas de las herramientas que existen para Linux se pueden usar para unas cosas o para otras. Ettercap es un Sniffer de red que puede de ver cosas que podemos usar para protegernos o para tomar medidas ya que es capaz de interceptar al vuelo muchos datos como passwords y nombres de usuario e informaciones sobre que están haciendo de servicios como Telnet, FTP, POP, Rlogin, SSH1, ICQ, SMB, MySQL, HTTP, NNTP, X11, Napster, IRC, RIP, BGP, SOCKS 5, IMAP 4, VNC, LDAP, NFS, SNMP, Half-Life, Quake3, MSN, YMSG. El software también incluye una opción para incluir Plugins e incluso defendernos matando conexiones, escaneando puertos o detectar el sistema operativo de la maquina. Esta gran herramienta se puede hacer servir de muchas maneras y tiene muchas variantes, tantas que me podría pasar toda la noche escribiendo. Así que voy a enseñaros un poco del funcionamiento y el resto os lo dejo a vosotros. Si queréis mas información podéis visitar la Wiki o la web oficial de Ettercap, además de Google claro está. 
Por suerte para mi todos los equipos de aquella empresa salian hacia Internet por ese Firewall al que sin pensármelo dos veces acudí para instalarle Ettercap y saber que estaba pasando. El Firewall está montado sobre un sistema Linux Debian por lo que si tenéis la misma o Linux Ubuntu podéis seguir el método de instalación. Para instalarlo tan solo tuve que abrirme una Terminal e identificarme como súper usuario ( root ) e instalarlo de la forma habitual …
apt-get install ettercap
Si estas en Linux Ubuntu …
sudo apt-get install ettercap
Ettercap podemos usarlo en modo texto y en modo gráfico GTK instalando algunas librerías adicionales. En este caso no vamos a instalar el entorno gráfico ya que el Firewall no dispone de entorno y se puede usar perfectamente con el teclado una vez te has acostumbrado a su extraño manejo con la tecla ( TAB ).
Para ejecutarlo teclearemos …
ettercap -C
o en Linux Ubuntu …
sudo ettercap -C
La demostración que veréis en estas imágenes son de el Servidor Web en Linux Ubuntu que tengo en mi casa y no de el Firewall de la empresa …
Como podéis ver necesitar no es que necesitemos instalarle entorno gráfico a este programa ya que con una combinación de teclas podemos navegar por sus menús y ejecutar lo que queramos. Para ello usaremos los cursores para movernos además de la tecla ( TAB ) y el ( Enter ) para ejecutar.
Para comenzar lo que tenemos que indicarle cual es la tarjeta de red sobre la que queremos que Ettercap actue. Para hacer esto vamos ha movernos por el menú superior con el cursor derecho y pulsaremos la tecla ( Enter ) …
A continuación seleccionamos la opción ( Unified Sniffing ) con la tecla ( Enter ) …
Aquí tenemos que indicarle que tarjeta de red queremos snifar, si tenemos tan solo una tarjeta de red instalada en el ordenador casi siempre suele valernos la de por defecto así que pulsamos ( Enter ) y continuamos …
Ahora lo que aremos sera activar el Sniffer desde el menú superior ( Start ) y seguido de ( Start sniffing ) …
Como vemos en la imagen de arriba en hay muchas Ips, y cada una representa un ordenador que se conecta a nosotros. En mi caso tengo mucho trafico en mi Servidor Web con ip 192.168.1.75, se que es Web porque detrás de la ip de nuestra tarjeta de red siempre sale hacia el puerto hacia donde apunta el ordenador que se dispone a usar uno de nuestros servicios.
Para saber que están haciendo estas IPs en mi servidor voy a usar como cobaya otro ordenador de mi red con la IP 192.168.1.74 …
una vez situados encima del objetivo podemos matar su conexión simplemente pulsando la tecla ( K ) o ver datos como la dirección Mac del ordenador remoto, su Ip, el protocolo y el puerto que usa con la tecla ( D ) …
Para salir de esta pantalla y volver a la lista de Ips tenemos que pulsar tres veces la tecla ( TAB ) …
En la ventana izquierda podemos ver datos sobre nuestro visitante como por ejemplo, que está mirando, navegador, sistema operativo y varias cosas mas. Que si realmente os interesa podréis seguir descubriendo poco a poco vosotros mismos.
Para lo que uséis esta información es problema vuestro yo tan solo he intentado informar sobre está herramienta y mostrar algo de lo que puede hacer ya que tan solo me basto mirar este par de cosas para saber que o quien estaba saturando la red de la empresa.
Lo que realmente me parecía curioso era que aquella red tan solo se volvía torpe de buena mañana sobre las 10:00 hasta las 13:00 ¿ Solo tres horas y luego ya funciona todo bien ?
Resulta que eran sobre las 12:00 del medio día cuando yo me encontraba allí y Ettercap me dio datos que me conducieron hacia la maquina causante de este problema. La información que me dio sobre el sistema operativo de la maquina que obstruía la red cerro el circulo de posibles sospechosos entre los 25 equipos que estaban conectados a la red. El sistema operativo que tenia el ordenador causante del gran trafico era Linux Ubuntu y de estos solo hay 3 en las oficinas de toda la empresa. Pude ir mas allá y ver con Ettercap que estaba causando el bestial trafico en la red y resulta que un de los equipos de la red estaba subiendo algo muy grande al servidor vía ftp. Como ya teníamos la IP tan solo tuvimos que ir hacia el ordenador para ver que nos encontrábamos.
Lo que vimos fue un montón de películas subidas y subiéndose hacia el servidor en un directorio al que se tenia acceso web y desde allí los amigos de esta persona podrían descargarselas.
En una situación así mas que como informáticos tenemos que comportarnos como espías ya que cualquier dato puede sernos útil para saber que o quien esta ocasionando el problema. Me sabe mal hacer este tipo de faenas porque siempre suele salir perjudicado alguien pero cada uno cumple su cometido en esta vida y yo cumplo con el mio que es cumplir con mi trabajo y explicároslo a vosotros.
, gracias Forat 
