Fortalecer la Pila TCP/IP EN WINDOWS CONTRA ATAQUES DOS

DaRpANeT · 10-Nov-2006, 15:05

<o:p> </o:p>
Los ataques de denegación de servicio, conocidos como DoS, intentan aprovechar los fallos del protocolo TCP/IP para saturar el tráfico e impedir que la información llegue al ordenador afectado.
Hasta la fecha era muy difícil impedir un ataque DoS a ordenadores basados en la arquitectura NT, como Windows 2000 o XP; no ocurre así lo mismo con el kernel de Linux. Sin embargo, hemos encontrado un modo de fortalecer la pila del protocolo TCP/IP en Windows; ya sea en redes internas o redes conectadas a Internet.<o:p></o:p>
<o:p> </o:p>
<<<<<<<<<<<<<<<<<<<<<<<<<<<<<<<<<<<<<<<<<<<<<<<<o: p> </o:p>
<o:p> </o:p>
Regedit y en la clave:
HKey_Local_Machine/ System/ CurrentControlSet/ Services/ Tcpip/ Parameters<o:p></o:p>
<o:p> </o:p>
<o:p> </o:p>
Colocan los siguientes valores DWORD:<o:p></o:p>
<o:p> </o:p>
EnableICMPRedirect = 0 (Se deshabilitan las redirecciones ICMP, impidiendo que un ataque se redirija a un tercero).<o:p></o:p>
<o:p> </o:p>
SynAttackProtect = 2 (Establece el límite SYN, para que no se cree una situación en la que la conexión TCP se bloquee en un estado semi abierto. La configuración predeterminada es 0. Un valor de 2 controla la caducidad de las conexiones abiertas y medio abiertas).<o:p></o:p>
<o:p> </o:p>
TCPMaxConnectResponseRetransmissions = 2 (Determina las veces que TCP transmite un mensaje SYN/ACK que no es respondido. TCP retransmite confirmaciones hasta alcanzar el número de este valor).<o:p></o:p>
<o:p> </o:p>
TCPMaxHalfOpen = 500 (Número de conexiones que el servidor puede mantener en estado semi abierto antes de que TCP/IP inicie la protección contra ataques SYN).<o:p></o:p>
<o:p> </o:p>
TCPMaxHalfOpenRetired = 400 (Número de conexiones que el servidor puede mantener en estado semi abierto, incluso después de retransmitir una conexión. Si se sobrepasa esta entrada, TCP/IP inicia la protección contra ataques SYN).<o:p></o:p>
<o:p> </o:p>
TCPMaxPortsExhausted = 5 (Número de solicitudes de conexión que el sistema rechazará antes de que TCP/IP inicie la protección contra ataques SYN).<o:p></o:p>
<o:p> </o:p>
TCPMaxDataRetransmissions = 3 (Número de veces que TCP retransmite un segmento de datos desconocido en una conexión existente).<o:p></o:p>
EnableDeadGWDetect = 0 (Determina si el ordenador tiene que detectar puertas de enlace inactivas. Un valor de 1 implica que el sistema solicite a TCP que cambie a una puerta de enlace de reserva en caso de conexiones con problemas. Las puertas de enlace de reserva están definidas en <st1>ersonName productid="la Configuraci￳n TCP" w:st="on">la Configuración TCP</st1>ersonName>/IP, en Red, del Panel de control).<o:p></o:p>
<o:p> </o:p>
EnablePMTUDiscovery = 0 (Determina si está habilitado el descubrimiento MTU de ruta de acceso, donde TCP descubre el paquete de mayor tamaño en la ruta a un host remoto).<o:p></o:p>
<o:p> </o:p>
DisableIPSourceRouting = 2 (Determina si un ordenador permite que los clientes conectados establezcan la ruta que los paquetes deben seguir hasta su destino. Un valor de 2 impide el enrutamiento de origen de los paquetes IP).<o:p></o:p>
<o:p> </o:p>
NoNameReleaseOnDemand = 1 (Determina si el ordenador libera su nombre NetBIOS a otro ordenador que lo solicite o si un paquete malintencionado quiere apropiarse del nombre NetBIOS).<o:p></o:p>
<o:p> </o:p>
PerformRouterDiscovery = 0 (Determina si el ordenador realiza un descubrimiento del router de esta tarjeta. El descubrimiento solicita la información del router y agrega la información a una tabla de ruta -ARP-. El valor de 0 incluso impide el envenenamiento ARP).<o:p></o:p>
<o:p> </o:p>
<<<<<<<<<<<<<<<<<<<<<<<<<<<<<<<<<<<<<<<<<<<<<<<<o: p> </o:p>
<o:p> </o:p>
A todo lo anterior, aún puede asegurarse más la pila TCP/IP para las aplicaciones socket de Windows (Winsock), como es el caso de los servidores Web o FTP. Cabe añadir que el responsable de las conexiones a aplicaciones Winsock es el driver Afd.sys. El problema de este driver es que en Windows 2000 y XP se modificó para admitir un número mayor de conexiones en estado semi abierto, sin denegar acceso a los clientes legítimos.<o:p></o:p>
<o:p> </o:p>
En Windows 2003 se ha habilitado otro tipo de protección.
Afd.sys puede usar la copia de seguridad dinámica del Registro, configurable, en lugar de hacerlo con la copia de seguridad estática. Y eso es lo que vamos a hacer en:<o:p></o:p>
<o:p> </o:p>
<o:p> </o:p>
HKey_Local_Machine/ System/ CurrentControlSet/ Services/ AFD/ Parameters <o:p></o:p>
<o:p> </o:p>
<<<<<<<<<<<<<<<<<<<<<<<<<<<<<<<<<<<<<<<<<<<<<<<<o: p> </o:p><o:p>
</o:p><o:p></o:p><o:p></o:p><o:p></o:p><o:p></o:p><o:p></o:p><o:p></o:p><o:p></o:p><o:p></o:p><o:p></o:p>
Valores DWORD:<o:p></o:p>
<o:p> </o:p>
<o:p> </o:p>
EnableDynamicBacklog = 1 (Alterna entre el uso de una copia de seguridad estática y una dinámica del Registro. El valor predeterminado es 0, lo que únicamente permite el uso de la copia de seguridad estática).<o:p></o:p>
<o:p> </o:p>
MinimumDynamicBacklog = 20 (Número mínimo de conexiones permitidas a la escucha. Si las conexiones libres descienden por debajo de este valor se crea un subproceso para crear conexiones libres adicionales. Un valor demasiado grande reduce el rendimiento del ordenador).<o:p></o:p>
<o:p> </o:p>
MaximumDynamicBacklog = 20000 (Número máximo de conexiones libres y medio abiertas. Más allá de este valor no habrá conexiones libres adicionales, al estar limitado).<o:p></o:p>
<o:p> </o:p>
DynamicBacklogGrowthDelta = 10 (Número de extremos Winsock en cada conjunto de asignación solicitado por el ordenador. Un número demasiado elevado provoca que los recursos del sistema se ocupen de forma innecesaria).<o:p></o:p>
<o:p> </o:p>
La segunda macro de las mencionadas, Winsock_sec.vbs, configura automáticamente estos valores en el Registro de Windows 2000 y XP.
Ojo, que algunos antivirus detectan cualquier macro como una posible entrada de virus, impidiendo sus ejecución. Si ese el caso, habrá que desactivar momentáneamente el antivirus hasta que se hayan ejecutado las macros. En todos los casos, habrá que reiniciar el ordenador para que los cambios en la pila TCP/IP surtan efecto.
El fortalecimiento de la pila TCP/IP no es una panacea, pero servirá para la defensa de ataques basados en DoS, sean del tipo que sea. Como siempre, el administrador de sistemas o el usuario, debería de activar, cuando menos, un firewall, como medida adicional para evitar éste y otro tipo de ataques.

Fuente.

Configurar Equipos.com

Neo · 17-Nov-2006, 23:26

Excelente aporte a la seguridad de nuestros PC's! ojalá a más de alguien le sirva

JIFACORPS · 18-Nov-2006, 00:20

aportazo man

Pucca · 18-Nov-2006, 08:48

Que buena, no sabia que se podia hacer eso! De todas formas es mejor linux

Pero hay que tener windows pa jugar

, muchas gracias, veremos si me resulta, jojo, y ahi cuento.

Raziel · 18-Nov-2006, 09:40

En linux no? pero no es la arquitectura TCP/IP independiente de S.O?

tonce se debe a la configuracion de Wintendo

.

Gracias por el aporte

Andhrew · 18-Nov-2006, 10:10

Muy buen aporte, felicitaciones

10-Nov-2006, 15:05	#1
DaRpANeT The rigth way to surf Registrado: October-2006 Location: ns1.theplanet.com Posts: 1.038	Fortalecer la Pila TCP/IP EN WINDOWS CONTRA ATAQUES DOS <o:p> </o:p> Los ataques de denegación de servicio, conocidos como DoS, intentan aprovechar los fallos del protocolo TCP/IP para saturar el tráfico e impedir que la información llegue al ordenador afectado. Hasta la fecha era muy difícil impedir un ataque DoS a ordenadores basados en la arquitectura NT, como Windows 2000 o XP; no ocurre así lo mismo con el kernel de Linux. Sin embargo, hemos encontrado un modo de fortalecer la pila del protocolo TCP/IP en Windows; ya sea en redes internas o redes conectadas a Internet.<o:p></o:p> <o:p> </o:p> <<<<<<<<<<<<<<<<<<<<<<<<<<<<<<<<<<<<<<<<<<<<<<<<o: p> </o:p> <o:p> </o:p> Regedit y en la clave: HKey_Local_Machine/ System/ CurrentControlSet/ Services/ Tcpip/ Parameters<o:p></o:p> <o:p> </o:p> <o:p> </o:p> Colocan los siguientes valores DWORD:<o:p></o:p> <o:p> </o:p> EnableICMPRedirect = 0 (Se deshabilitan las redirecciones ICMP, impidiendo que un ataque se redirija a un tercero).<o:p></o:p> <o:p> </o:p> SynAttackProtect = 2 (Establece el límite SYN, para que no se cree una situación en la que la conexión TCP se bloquee en un estado semi abierto. La configuración predeterminada es 0. Un valor de 2 controla la caducidad de las conexiones abiertas y medio abiertas).<o:p></o:p> <o:p> </o:p> TCPMaxConnectResponseRetransmissions = 2 (Determina las veces que TCP transmite un mensaje SYN/ACK que no es respondido. TCP retransmite confirmaciones hasta alcanzar el número de este valor).<o:p></o:p> <o:p> </o:p> TCPMaxHalfOpen = 500 (Número de conexiones que el servidor puede mantener en estado semi abierto antes de que TCP/IP inicie la protección contra ataques SYN).<o:p></o:p> <o:p> </o:p> TCPMaxHalfOpenRetired = 400 (Número de conexiones que el servidor puede mantener en estado semi abierto, incluso después de retransmitir una conexión. Si se sobrepasa esta entrada, TCP/IP inicia la protección contra ataques SYN).<o:p></o:p> <o:p> </o:p> TCPMaxPortsExhausted = 5 (Número de solicitudes de conexión que el sistema rechazará antes de que TCP/IP inicie la protección contra ataques SYN).<o:p></o:p> <o:p> </o:p> TCPMaxDataRetransmissions = 3 (Número de veces que TCP retransmite un segmento de datos desconocido en una conexión existente).<o:p></o:p> EnableDeadGWDetect = 0 (Determina si el ordenador tiene que detectar puertas de enlace inactivas. Un valor de 1 implica que el sistema solicite a TCP que cambie a una puerta de enlace de reserva en caso de conexiones con problemas. Las puertas de enlace de reserva están definidas en <st1>ersonName productid="la Configuraci￳n TCP" w:st="on">la Configuración TCP</st1>ersonName>/IP, en Red, del Panel de control).<o:p></o:p> <o:p> </o:p> EnablePMTUDiscovery = 0 (Determina si está habilitado el descubrimiento MTU de ruta de acceso, donde TCP descubre el paquete de mayor tamaño en la ruta a un host remoto).<o:p></o:p> <o:p> </o:p> DisableIPSourceRouting = 2 (Determina si un ordenador permite que los clientes conectados establezcan la ruta que los paquetes deben seguir hasta su destino. Un valor de 2 impide el enrutamiento de origen de los paquetes IP).<o:p></o:p> <o:p> </o:p> NoNameReleaseOnDemand = 1 (Determina si el ordenador libera su nombre NetBIOS a otro ordenador que lo solicite o si un paquete malintencionado quiere apropiarse del nombre NetBIOS).<o:p></o:p> <o:p> </o:p> PerformRouterDiscovery = 0 (Determina si el ordenador realiza un descubrimiento del router de esta tarjeta. El descubrimiento solicita la información del router y agrega la información a una tabla de ruta -ARP-. El valor de 0 incluso impide el envenenamiento ARP).<o:p></o:p> <o:p> </o:p> <<<<<<<<<<<<<<<<<<<<<<<<<<<<<<<<<<<<<<<<<<<<<<<<o: p> </o:p> <o:p> </o:p> A todo lo anterior, aún puede asegurarse más la pila TCP/IP para las aplicaciones socket de Windows (Winsock), como es el caso de los servidores Web o FTP. Cabe añadir que el responsable de las conexiones a aplicaciones Winsock es el driver Afd.sys. El problema de este driver es que en Windows 2000 y XP se modificó para admitir un número mayor de conexiones en estado semi abierto, sin denegar acceso a los clientes legítimos.<o:p></o:p> <o:p> </o:p> En Windows 2003 se ha habilitado otro tipo de protección. Afd.sys puede usar la copia de seguridad dinámica del Registro, configurable, en lugar de hacerlo con la copia de seguridad estática. Y eso es lo que vamos a hacer en:<o:p></o:p> <o:p> </o:p> <o:p> </o:p> HKey_Local_Machine/ System/ CurrentControlSet/ Services/ AFD/ Parameters <o:p></o:p> <o:p> </o:p> <<<<<<<<<<<<<<<<<<<<<<<<<<<<<<<<<<<<<<<<<<<<<<<<o: p> </o:p><o:p> </o:p><o:p></o:p><o:p></o:p><o:p></o:p><o:p></o:p><o:p></o:p><o:p></o:p><o:p></o:p><o:p></o:p><o:p></o:p> Valores DWORD:<o:p></o:p> <o:p> </o:p> <o:p> </o:p> EnableDynamicBacklog = 1 (Alterna entre el uso de una copia de seguridad estática y una dinámica del Registro. El valor predeterminado es 0, lo que únicamente permite el uso de la copia de seguridad estática).<o:p></o:p> <o:p> </o:p> MinimumDynamicBacklog = 20 (Número mínimo de conexiones permitidas a la escucha. Si las conexiones libres descienden por debajo de este valor se crea un subproceso para crear conexiones libres adicionales. Un valor demasiado grande reduce el rendimiento del ordenador).<o:p></o:p> <o:p> </o:p> MaximumDynamicBacklog = 20000 (Número máximo de conexiones libres y medio abiertas. Más allá de este valor no habrá conexiones libres adicionales, al estar limitado).<o:p></o:p> <o:p> </o:p> DynamicBacklogGrowthDelta = 10 (Número de extremos Winsock en cada conjunto de asignación solicitado por el ordenador. Un número demasiado elevado provoca que los recursos del sistema se ocupen de forma innecesaria).<o:p></o:p> <o:p> </o:p> La segunda macro de las mencionadas, Winsock_sec.vbs, configura automáticamente estos valores en el Registro de Windows 2000 y XP. Ojo, que algunos antivirus detectan cualquier macro como una posible entrada de virus, impidiendo sus ejecución. Si ese el caso, habrá que desactivar momentáneamente el antivirus hasta que se hayan ejecutado las macros. En todos los casos, habrá que reiniciar el ordenador para que los cambios en la pila TCP/IP surtan efecto. El fortalecimiento de la pila TCP/IP no es una panacea, pero servirá para la defensa de ataques basados en DoS, sean del tipo que sea. Como siempre, el administrador de sistemas o el usuario, debería de activar, cuando menos, un firewall, como medida adicional para evitar éste y otro tipo de ataques. Fuente. Configurar Equipos.com __________________

18-Nov-2006, 09:40	#5
Raziel Preguntón incansable Registrado: August-2006 Location: Natales, Punta Arenas, Porvenir Posts: 492	En linux no? pero no es la arquitectura TCP/IP independiente de S.O? tonce se debe a la configuracion de Wintendo . Gracias por el aporte __________________ Sabiduría, independencia y recogimiento interno. Claridad y autoridad que se adquiere en la búsqueda de uno mismo: conocimiento interior, prudente sabiduría y análisis. Regalo iPOD nano de 2.4GB

18-Nov-2006, 10:10	#6
Andhrew Usuario Registrado: July-2006 Location: Curicó City Posts: 306 Mi PC	Muy buen aporte, felicitaciones __________________

Discusiones similares
Discusión	Iniciada por	Foro	Respuestas	Último post
error con la pila??	AkHaNiTa	[Notebooks] Toshiba, HP, Lenovo-IBM	3	07-Oct-2008 00:05
mensaje subliminar contra windows?	eshizero	Humor y Sconf	1	06-Jun-2007 21:55
la guerra de consolas (ps3 contra Wii contra xbox)	Grimlock	Humor y Sconf	2	21-Jul-2006 21:42

Discusiones similares

Categorías:

Foros CHW:

18-Nov-2006, 00:20	#3
JIFACORPS Usuario Registrado: November-2005 Posts: 224	aportazo man

18-Nov-2006, 08:48	#4
Pucca Experimentado Registrado: October-2005 Location: Valparaíso de mi amor xD Posts: 585	Que buena, no sabia que se podia hacer eso! De todas formas es mejor linux Pero hay que tener windows pa jugar , muchas gracias, veremos si me resulta, jojo, y ahi cuento.