La primera botnet Eggdrop fue descubierta en 1993, y se utilizaba para compartir información del usuario por canales protegidos. La botnet estaba basada en el protocolo IRC. Posteriormente las botnets evolucionaron hacia estructuras más complejas y sofisticadas. Muchas pequeñas a grandes botnets han sido desarrolladas con múltiples características y funcionalidades. Otras botnets adoptaron diferentes arquitecturas y continuamente evolucionaron con diversos protocolos C&C.

Una botnet es una red de computadoras comprometidas y controladas por atacantes, desde una localización remota mediante canales C&C (Comando y Control). Las computadoras comprometidas son llamadas “bots”, y a quien control una “botnet” se le denomina como “botmaster”.

La siguiente generación (Next Generation) “pcap”, es el nuevo formato para volcar las trazas de los paquetes, y de esta manera facilitar la extensibilidad, portabilidad, y tener la capacidad de fusionar y añadir datos. Un archivo de captura es organizado en bloques, los cuales son añadidos uno hacia otro para formar un archivo. Todos los bloques comparten un formato en común. Un tipo bloque es un valor único el cual identifica el bloque. La longitud total del bloque proporciona el tamaño total del bloque en bytes.

Las herramientas de seguridad en red y vigilancia no están necesariamente diseñadas para manejar investigaciones forenses. Para lograr esto, se requiere capturar los paquetes de datos completos para luego analizarlos en detalle. Los paquetes pueden ser capturados en archivos libpcap (.pcap), ejecutando un sniffer de paquetes como TCPdump o Wireshark. Estas capturas ayudan a los investigadores a entender el ataque, quien está detrás del ataque, desde donde entró el atacante, y como se generó una brecha en la red.

El forense de redes abarca el análisis de los rastros y registros de los datos relacionados con incidentes de red, capturados a través de la infraestructura de red, y proporciona información útil para obtener las características o comportamiento de un incidente. Los datos recolectados actúan como evidencia para una respuesta de incidentes e investigación del mismo. El forense de redes no bloquea los incidentes en las redes, recolecta tanta evidencia como sea posible sobre estos.

El Phishing es un tipo de ataque de ingeniería social donde un atacante utiliza trucos psicológicos (trucos sociales), a través del teléfono o utiliza dispositivos de cómputo (correos electrónicos, chats, etc.), para convencer a las personas manejando información sensible sobre ellos mismos o una organización, como también los sistemas de cómputo.

El Pharming es un ciberataque el cual tiene como propósito redireccionar a los usuarios de un sitio web legítimo, hacia un sitio web fraudulento sin su conocimiento. El Pharming puede ser realizado ya sea cambiando el archivo de nombre “hosts” en la computadora de la victima, o mediante el envenenamiento de los registros en los servidores DNS con información falsa, lo cual conducirá a los usuarios hacia destinos indeseables. Los servidores DNS son los responsables de resolver los nombres de dominio en Internet hacia una dirección IP.

Los “Hackers de sombrero negro” (Black Hat), son generalmente personas con habilidades muy sofisticadas en tecnologías. Su principal propósito es invadir las redes privadas e irrumpir en los dispositivos de cómputo de otras personas o empresas, para robar información personal, o para realizar otros actos maliciosos. Muy diferente de los “Hackers de sombrero blanco”, quienes realizan acciones proactivamente para llamar la atención sobre las vulnerabilidades en los sistemas, y consecuentemente estas puedan ser arregladas.

Malware es un acrónimo para “malicious software o por su traducción al idioma español;” “software malicioso”. Este es el termino utilizado para cualquier software o código el cual puede dañar el dispositivo de cómputo o robar información confidencial, sin su consentimiento. Existen diferentes tipos de malware; como virus, spyware, rootkits, gusanos, ransomware, scareware, caballos de troya, puertas traseras y adware.

Los comandos “iptables” e “ip6tables”, son utilizando para manipular tablas, cadenas y reglas. Su opción “-t tabl” indica sobre cual tabla operar (por defecto “filter”).

Comandos

Las principales opciones para interactuar con las cadenas son las siguientes:

-L cadena: Lista las reglas en la cadena Esto es comúnmente utilizado con la opción “-n” para deshabilitar la resolución de nombres (por ejemplo, iptable -N -L INPUT mostrará las reglas relacionadas con los paquetes entrantes).