Leer lo que viaja a la vista, DNS, DHCP y ARP

Un equipo que arranca sin dirección pide una por DHCP en cuatro pasos: el cliente envía un Discover a todos, los servidores que lo oyen contestan con un Offer, el cliente elige una oferta y manda un Request al servidor elegido y este responde con un Ack. La oferta incluye la dirección, la puerta de enlace, los resolvedores de nombres y el tiempo de concesión.

Abre la tabla dhcp y lee la columna de mensajes en orden.

En una red debe haber servidores DHCP conocidos, con su dirección en el inventario. Si en la captura contesta un servidor que no figura, hay un segundo servidor repartiendo direcciones. Suele ser una causa de lo más corriente, como un enrutador pequeño conectado por error por un empleado, pero puede dejar a los equipos con puertas de enlace y resolvedores que no son los de la empresa.

Cruza dhcp con inventario.

ARP resuelve la dirección física (MAC) de una dirección IP dentro del mismo segmento: alguien pregunta «¿quién tiene esta IP?» y quien la tiene responde con su dirección física. Dos respuestas con direcciones físicas distintas para la misma IP indican que dos dispositivos usan esa dirección, o que alguien se presenta como otro. Las causas son más a menudo un error de configuración o un equipo reemplazado, y la evidencia de la captura no basta para decidir cuál: hay que ubicar el puerto del conmutador y el inventario.

Abre arp e inventario.

Cada consulta de nombres lleva el nombre, el tipo y un identificador, y la respuesta trae un código: NOERROR si hay respuesta y NXDOMAIN si el nombre no existe. Un resolvedor externo no conoce los nombres internos de la empresa, así que un equipo que le pregunta por un nombre interno recibe NXDOMAIN. Que un equipo se salte el resolvedor interno es un hallazgo de configuración, no necesariamente de ataque.

Abre dns y inventario.

Con lo que muestran las tres tablas se puede afirmar poco y sospechar bastante. Un buen informe escribe lo primero como hecho, con paquete y hora, y lo segundo como hipótesis con la prueba que falta. Aquí lo que falta casi siempre está fuera de la captura: el puerto del conmutador donde está el equipo y el inventario de quién lo conectó.

Piensa en el segundo servidor DHCP de la tabla dhcp.