NAT, balanceadores y lo que ocultan

5 tareas · 38 min · Principiante

El escáner ve direcciones, y entre la dirección que ve y el equipo real puede haber una traducción o un balanceador. Eso tiene dos efectos para quien analiza: un servicio puede estar publicado donde no esperabas, y un hallazgo puede vivir en un equipo que el escáner nunca nombra. En esta sala lees las reglas de traducción de Mutual Pedregal, el grupo de un balanceador, cuatro corridas contra la misma dirección y una tabla de traducciones de salida. Todo es lectura de evidencia ficticia; no se prueba nada.

0 de 5 · 0%

Objetivo de la sala

La traducción de direcciones (NAT) cambia direcciones al pasar por el borde. La de destino publica un servicio interno bajo una dirección pública: lo que llega a 203.0.113.10:443 se entrega a un equipo interno. La de origen hace lo contrario con lo que sale: muchos equipos internos aparecen con una sola dirección pública. Un balanceador reparte lo que llega a una dirección virtual entre varios miembros.

 escáner ──► 203.0.113.11:443 ──► [ borde: traducción ] ──► vip-api ──┬─► api-1
              (lo que se ve)                                          ├─► api-2
                                                                      └─► api-3

El escáner solo conoce la dirección de la izquierda. Lo que informa de ella es lo que contestó ese día el miembro que atendió, o lo que contestó el propio balanceador.

Responde para continuar

Un escáner externo informa de una dirección publicada detrás de un balanceador. ¿Qué ha visto en realidad?

Todos los equipos del grupo a la vez, con la versión de cada uno bien identificada Solo la dirección de las reglas de traducción, sin ningún dato sobre el servicio que hay detrás La respuesta del miembro que atendió esa conexión, o la del balanceador, y no el grupo completo

Ver pista de ayuda

El escáner habla con una dirección; no sabe cuántos equipos la comparten.

Abre la tabla nat. Cada fila traduce una dirección y puerto públicos a un equipo y puerto internos. Una de ellas publica un puerto no estándar de la dirección del sitio web, y lo lleva a un puerto que, por convención, es de administración remota.

Un registro de activos que dice «esa aplicación solo es interna» no se contradice con la configuración del equipo, pero sí con esta regla.

Responde para continuar

¿Qué activo interno alcanza la regla NAT-03 desde internet? Escribe su nombre.

Ver pista de ayuda

Mira la columna «hacia» de la regla NAT-03.

La API pública sale en cuatro corridas contra la misma dirección. Tres veces el escáner leyó una versión y una sola vez leyó otra: el balanceador reparte, y esa vez atendió un miembro distinto. Una corrida «limpia» no demuestra que todo el grupo lo esté.

Compara la tabla corridas_api con pool_balanceador, que dice qué versión ejecuta cada miembro.

Responde para continuar

¿Qué miembro del grupo ejecuta la versión que solo apareció en una de las cuatro corridas? Escribe su nombre.

Ver pista de ayuda

Mira qué corrida vio la versión distinta y busca esa versión en el grupo del balanceador.

Con la traducción de origen, el servidor del otro lado ve una sola dirección para todos los puestos internos. Si un hallazgo o una alerta del lado de destino apunta a esa dirección, no dice qué equipo fue. Para saberlo hay que cruzar el puerto de origen con la tabla de traducciones del cortafuegos, que guarda quién había detrás de cada uno.

El registro_destino trae una conexión de las 14:02:11 con un puerto de origen concreto.

Responde para continuar

Una conexión de las 14:02:11 llegó al servidor externo con puerto de origen 40112. ¿Qué equipo interno la originó? Escribe su nombre.

Ver pista de ayuda

Cruza la hora y el puerto del registro de destino con la tabla de traducciones.

El hallazgo de la versión antigua se detectó en la dirección publicada de la API. Si el ticket dice «dirección 203.0.113.11», el equipo de plataforma lo cerrará al ver que la siguiente corrida sale limpia.

Responde para continuar

¿Qué activo se escribe en el ticket de ese hallazgo?

La dirección publicada, porque es el activo que el escáner nombró en su informe El balanceador, que es el dispositivo responsable de repartir las conexiones entre los miembros El miembro con la versión antigua, anotando la dirección publicada como vía de acceso

Ver pista de ayuda

Quien parchea necesita el equipo concreto, y quien prioriza necesita saber por dónde se llega.

Inicia sesión para registrar tus puntos y progreso en el ranking.

Entrar · Registrarse

1 Lo que el escáner ve en una dirección publicada

2 El servicio publicado donde nadie lo esperaba Lab

3 El miembro que no se parchea Lab

4 Quién hizo esa conexión Lab

5 A quién se le abre el ticket Lab

Whoami-Labs Pro utiliza cookies