Cómo configurar GeoIP en Wireshark para mejorar la seguridad de la red

 

Wireshark es una herramienta poderosa para analizar el tráfico de red, y con la configuración GeoIP, puedes añadir una capa adicional de información a tu análisis al ver la ubicación geográfica de las direcciones IP. Esto puede ser especialmente útil para detectar ataques, ya que puedes identificar rápidamente el origen de tráfico sospechoso.

Configuración de GeoIP en Wireshark:

1. Descarga las bases de datos GeoIP: Primero, necesitas descargar las bases de datos GeoLite2 desde MaxMind. Necesitarás registrarte para obtener una cuenta gratuita en su sitio web. Puedes descargar las bases de datos en formato Gzip para GeoLite2 ASN, GeoLite2 City y GeoLite2 Country. Ten en cuenta que estas bases de datos gratuitas son menos precisas que las de pago, que se actualizan con más frecuencia.
   Las bases de datos se pueden descargar desde la siguiente url:
   
   GeoIP Database
   
   

   
   
   

   
   
   

   
   

   

   
   
   

   
   

   
   
   
2. Importa las bases de datos a Wireshark:
   • Abre las Preferencias de Wireshark (en Mac: Wireshark > Preferencias; en Windows/Linux: Editar > Preferencias).
   • Ve a Resolución de nombres > Directorios de bases de datos MaxMind.
     
     
     
     
     
     
     
     
     
   • Haz clic en "Editar" y luego en "Añadir" para seleccionar la carpeta donde has extraído las bases de datos GeoLite2.
     

     

   • Puedes eliminar cualquier ruta de base de datos antigua si es necesario.
   • Haz clic en "Aceptar" para guardar los cambios.
3. Reinicia Wireshark: Es posible que debas reiniciar Wireshark para que los cambios surtan efecto.
   
   
   
   
   

Uso de GeoIP para detectar ataques:

Una vez que hayas configurado GeoIP, puedes utilizarlo para identificar el origen geográfico del tráfico de red en Wireshark. Esto puede ser útil para detectar varios tipos de ataques, como:

• Escaneos de red: Si ves un gran número de conexiones entrantes desde diferentes direcciones IP, puedes utilizar GeoIP para ver si provienen de la misma ubicación geográfica. Esto podría indicar un ataque de escaneo de red distribuido.
• Ataques de denegación de servicio (DoS): Si experimentas un ataque DoS, puedes utilizar GeoIP para identificar la ubicación de los atacantes. Esta información puede ser útil para bloquear el tráfico malicioso.
• Explotación de vulnerabilidades: Si detectas tráfico sospechoso que intenta explotar una vulnerabilidad en tu red, puedes utilizar GeoIP para determinar su origen y tomar medidas para mitigar el ataque.

Ejemplo de uso de GeoIP:

En un archivo de captura de Wireshark, puedes encontrar información GeoIP en la sección IP de un paquete. Para ver la ubicación geográfica de todas las direcciones IP en un archivo de captura, puedes ir a Estadísticas > Puntos finales y seleccionar la pestaña "IP".

También puedes filtrar el tráfico por país utilizando el código ISO de dos letras. Por ejemplo, para filtrar el tráfico procedente de Rusia, puedes utilizar el filtro "ip.geoip.country_iso == RU".

Recuerda: La información GeoIP no siempre es precisa, ya que las direcciones IP pueden ser falsificadas. Sin embargo, puede ser una herramienta útil para detectar y analizar ataques de red.