Mantén Seguro tu PC bloqueando estas IP

Es inevitable permanecer seguros hoy en día, cada día enfrentamos nuevos desafíos y nuevas formas en caer para secuestrar un equipo y/o información que tengamos. Los delincuentes hoy en día nunca paran de buscar nuevas formas de conseguir mas publico.

Sin embargo nosotros los usuarios tenemos la responsabilidad de mantenernos informados y agregar las defensas necesarias para no caer en la trampa.

Hoy les comparto un pequeño Script en Windows para bloquear las IP maliciosas a la fecha que se pueden bloquear, ya que dichas IPs fueron catalogadas como IPs para uso malicioso. De esta manera agregamos un defensa adicional independientemente de cualquier App de seguridad poseas instalado o para aquellas personas que no usan App adicionales de Firewall y Antivirus como yo, es genial.

El Script es bastante sencillo, solo bloquea la entrada y salida que intente conectar a esas IPs, asi que cualquier URL que accidentalmente hagamos click se bloquea inmediatamente. Esto lo logra agregando reglas en el Firewall de Windows. Actualmente fue probado en Windows 10 y sin ningún tipo de problema. Aclaro que esto es una capa adicional a tus medidas de seguridad, esto no reemplaza al Antivirus o Firewall que poseas.

Para empazar debemos permitir la ejecución de Script en Windows 10, para ello tenemos que abrir la consola PowerShell en modo administrador y ejecutar:

Set-ExecutionPolicy -ExecutionPolicy Unrestricted

De esta manera se permite la ejecución de Script en Windows y ahora debemos descargar el siguiente Script, si por alguna razón la pagina no se encuentra disponible comparto el Script:

# Script by Kevin Feenstra (Kevin@remixed.nl)
# Please keep in mind that this script isn't a replacement for antivirus software or a firewall appliance!
# This script is a extra layer of defense by blocking inbound and outbound traffic to your computer based on malicious ip lists

# Feedback? or just happy with my script, please let me know; kevin@remixed.nl


#Retrieve IP Blacklist from malc0de and safe copy daily (if you don't want to keep track of your list changes don't set the date in the filename).
#You might want to change the destination folder.
$SetDate = Get-Date -format "yyyyMMdd"
$source = "http://malc0de.com/bl/IP_Blacklist.txt"
$destination = "c:\temp\IP_blacklist_$SetDate.txt" 
Invoke-WebRequest $source -OutFile $destination

#regex to make sure we only retrieve the ip's from the file
$regex = "\d{1,3}\.\d{1,3}\.\d{1,3}\.\d{1,3}"
$maliciousIPs = get-content -Path $destination | Select-String $regex
$maliciousIPs.count

#Create outbound rules for all ip's in blacklist


foreach ($maliciousIP in $maliciousIPs){
    #Checking if rule is exists
    $counterob++
    Write-Progress -Activity 'Processing IPs outbound' -CurrentOperation $maliciousIP -PercentComplete (($counterob / $maliciousIPs.count) * 100)
    $checkrule = Get-NetFirewallRule -Name "Network Security Outbound Blacklist $maliciousIP" -erroraction 'silentlycontinue'
    if ($checkrule -ne $Null) {Write-Host "Rule exists, skipping " -nonewline; Write-Host "$maliciousIP" -foregroundcolor green -backgroundcolor black -nonewline; Write-Host " !!"}

        #create rule
        else {
        Write-Host "Creating new rule for " -nonewline; Write-Host "$maliciousIP" -foregroundcolor red -backgroundcolor yellow -nonewline; Write-Host " !!"
        New-NetFirewallRule -Name "Network Security Outbound Blacklist $maliciousIP"  -Description "Block outbound traffic to malicious IP's" -Profile Any -Direction Outbound -Action Block -DisplayName "Network Security Outbound Blacklist $maliciousIP" -Group "NSOB" -RemoteAddress $maliciousIP}
}


#Create inbound rules for all ip's in blacklist

foreach ($maliciousIP in $maliciousIPs){
    #Checking if rule is exists
    $counterib++
    Write-Progress -Activity 'Processing IPs inbound' -CurrentOperation $maliciousIP -PercentComplete (($counterib / $maliciousIPs.count) * 100)
    $checkrule = Get-NetFirewallRule -Name "Network Security Inbound Blacklist $maliciousIP" -erroraction 'silentlycontinue'
    if ($checkrule -ne $Null) {Write-Host "Rule exists, skipping " -nonewline; Write-Host "$maliciousIP" -foregroundcolor green -backgroundcolor black -nonewline; Write-Host " !!"}

        #create rule
        else {
        Write-Host "Creating new rule for " -nonewline; Write-Host "$maliciousIP" -foregroundcolor red -backgroundcolor yellow -nonewline; Write-Host " !!"
        New-NetFirewallRule -Name "Network Security Inbound Blacklist $maliciousIP"  -Description "Block inbound traffic to malicious IP's" -Profile Any -Direction inbound -Action Block -DisplayName "Network Security Inbound Blacklist $maliciousIP" -Group "NSIB" -RemoteAddress $maliciousIP}
}



#Failsafe: uncomment rules to delete rules created by this script
# Delete inbound Blacklist rules
#Get-NetFirewallRule -group NSIB | Remove-NetFirewallRule
# Delete outbound Blacklist rules
#Get-NetFirewallRule -group NSOB | Remove-NetFirewallRule

Y no olviden bloquear nuevamente la ejecución de Scripts en Windows 10:

Set-ExecutionPolicy -ExecutionPolicy Restricted
Cisco Logo

Solo Notas: EVC

Para los que no conocen los Equipos ASR9K son equipos muy usados en Service Provider funciona sobre IOS-XR y son muy buenos equipos en Capa 3. Una particularidad es que no trabaja Capa 2 es decir la VLAN, el dot1Q, entre otros no se puede configurar como se hacia como IOS particularmente. Es por ello que para trabajar con Capa 2 y VLANs por ejemplo se usa un modelo que se llama EVC es decir Ethernet Virtual Circuits.

EVC es un modelo que permite quitar la limitación de usar hasta 4096 Vlans en todo el equipo. Por lo tanto dejo algunas anotaciones sobre EVC.

  • Los ASR no siguen el modelo Capa 2, 802.1Q, 8021AD (QinQ).
  • Usa EVC Mode.
  • Elimina la restricion de 4096 VLANS
  • Para configurar EVC se necesita de 3 Pasos
    • EFP es Ethernet Flow Point son los parametros que identifica el trafico L2.
    • EVC parametros que identifica el End-to-End.
    • BD Bridge Domain son los parametros que identifica el Dominio Broadcast
  • El parametro l2transport identifica sea una interfaz, sub-inf, bundle como EFP.
  • El parametro encapsulation hace Match con la VLAN
  • rewrite permite agregar, cambiar o quitar el etiquetado L2.
  • Las interfaz BVI actua o sirve de SVI es decir como «interfaz vlan X».
  • El BVI no soporta Tag, es decir solo L3 para otras configuraciones esta el rewrite.

Ejemplo de Configuraciones:

l2vpn
 bridge group XX
  bridge-domain YY
   interface GigabitEthernet0/0/0/X
   !
    interface GigabitEthernet0/0/0/X
   !
   routed interface BVIZZ
  !

El Bridge Group da igual si quereis crearlo uno para todo o uno a uno seria cuestión de orden y estética del código en su configuración.

interface Bundle-Ether901.3500 l2transport
interface Gi X/X/X/X l2transport
interface Gi X/X/X/X.X l2transport

Serian algunos ejemplos para habilitar EFP. Para recibir un Tag en una Interface usamos Service Instance. Es decir:

interface GigabitEthernetX
switchport trunk allowed vlan none 
switchport mode trunk
service instance 6 ethernet
  encapsulation dot1q 10
  rewrite ingress tag pop 1 symmetric
  xconnect 192.168.1.1 33 encapsulation mpls

En la configuración que tenemos encima podemos decir lo siguiente:
Hago Match con dot1Q 10 es decir VLAN 10, con el rewrite quitamos el dot1Q y luego lo mando por la MPLS al Neighbor 192.168.1.1.


Windows 10 - Conexión de Uso Medido

Reduce el consumo de datos en Windows con estos Tips

En ocasiones es probable que necesites conectarte a Internet a través de tu Móvil, es decir ya sea por que no encuentras una Wifi disponible, o que la calidad de la misma sea pobre, es probable que tengas la necesidad de conectarte con tu Móvil. En este articulo quiero mostrarte como cuidarte del consumo de datos.

Tu como yo, quizás tengas el temor que no sabemos cual de todos los programas que tengas instalados quieran actualizarse o sincronizar datos en Internet lo cual implica un consumo inesperado de datos en tu móvil, por ejemplo las actualizaciones de Windows, de Chrome, la sincronización de archivos con OneDrive, entre otros.

Hoy le muestro un pequeño feature o característica de Windows 10 que permita pausar, o detener las actualizaciones de Windows y ademas enviar señales a las aplicaciones de que se trata de una conexión de uso medido, es decir «no abuses con el internet». Y les cuento, si funciona. Mucho de las aplicaciones son compatibles con esta señal y grueso de las aplicaciones respectan esta señal.

Empezaremos con entrar en configuración de Windows.

Configuración de Windows – Abrir Red e Internet
Configuración de Windows - WiFi
Configuración de Windows – WiFi
Configuración de Windows - Conexión de Uso Medido
Configuración de Windows – Conexión de Uso Medido

Y listo, es todo. Un ultimo detalle es que configuración solo aplica al WiFi que estas configurando, esto quiere decir que cuando te conectes a tu Wifi Habitual esta configuración no aplica a esa WiFi. Igualmente este configuración también aplica para conexiones Ethernet también.

Por otra aparte también podemos desactivar las conexiones en segundo plano.

Configuración de Windows - Desactivar Datos en Segundo Plano
Configuración de Windows – Desactivar Datos en Segundo Plano

Con esto Windows no consumirá datos innecesarios, como las actualizaciones, Outlook deja de sincronizar los correos igualmente que OneDrive, entre otros. Te ahorras un montón de datos y ademas hay ventaja adicional a todo esto, con esta característica el ancho de banda se enfocara exclusivamente en lo que vayas hacer por lo tanto sera mas eficiente, ya que no compite otro trafico.

Guarda los PCAP de Wireshark comprimidos.

Wireshark es una excelente herramienta para capturar paquetes,  de hecho es una de las principales herramientas para hacer Troubleshooting de cualquier problema que tengas en la Red.

Una característica interesante de esta herramienta que quizás poco conoceis es que puedes guardar la captura comprimido, de tal manera que puedas ahorrarte el paso de comprimir luego y ahorrar tiempo. Una ventaja es que Wireshark no necesita descomprimirlo si no abrirlo directamente, vamos que ahorramos tiempo y espacio.

Una vez capturemos, solo tenemos que guardarlo y activar la opción «Compress with gzip» y listo.

Ventana de Guardado de Wireshark – Para comprimir

Y finalmente lo que guarda es un archivo como: NOMBRE.test.pcapng.gz

Y eso es todo. Tan solo la siguiente vez que queramos abrir solo abrimos Wireshark buscas el archivo y Listo. Ni notaras la diferencia.

Recuerda que puedes descargar Wireshark aquí.

Ubuntu en Windows 10

Anteriormente hablábamos de Kalilinux en Windows 10 y el uso WSL de Windows 10 ahi mostramos como ejecutar un Escritorio completo por medio de Escritorio Remoto o Remote Desktop, de esta manera poder hacer uso de aplicaciones con GUI y realizar la mayoría de las actividades y ahorrar la ejecución de una maquina virtual con las ventajas que eso conlleva.

Hoy mostrare como realizar exactamente el mismo procedimiento aplicado en KaliLinux pero con Ubuntu y están simple como ejecutar el siguiente script:

 

sudo apt-get update
sudo apt-get install -y xfce4 xorg xrdp
sudo sed -i s/port=3389/port=3390/g /etc/xrdp/xrdp.ini

 

Por ultimo, ejecutamos sudo /etc/init.d/xrdp start para uniciar el demonio para podernos conectar por escritorio remoto. Finalmente ejecutamos Escritorio Remoto de Windows que tanto conocemos con la ip 127.0.0.01:3390 y ya esta.

Escritorio Remoto
Escritorio Remoto con la IP 127.0.0.1:3390

Y es todo amigos, solo recuerden detener el demonio una vez que terminen de usarlo con: sudo /etc/init.d/xrdp stop