Lab 4 — De Inspect al paquete

Objetivo

El objetivo de este laboratorio no es demostrar que Inspect funciona.

El objetivo es demostrar que puedes explicar qué ocurrió en la red utilizando evidencia.

Parte 1 — Preparar el punto de observación

Antes de generar tráfico:

1. abre Wireshark;
2. identifica la interfaz correcta;
3. identifica la IP del equipo;
4. comienza la captura.

Registra

Parte 2 — Comienza observando ampliamente

Utiliza inicialmente:

dns

No construyas todavía un filtro demasiado específico.

Comprueba que puedes observar tráfico DNS normal.

Si no aparece ningún paquete DNS, investiga el punto de captura antes de continuar.

Parte 3 — Genera tráfico con Inspect

Ahora utiliza Infoblox Inspect para generar el tráfico indicado por el instructor.

Mientras se genera el tráfico, no detengas inmediatamente la captura. Permite que la interacción termine y después detén Wireshark.

Guarda la captura si deseas conservarla como evidencia de la prueba.

Parte 4 — Encuentra las consultas

Aplica:

dns.flags.response == 0

Identifica las consultas relacionadas con la prueba y selecciona una.

Registra

Parte 5 — Encuentra la respuesta

Ahora utiliza:

dns.flags.response == 1

Localiza la respuesta correspondiente y comprueba el Transaction ID.

Registra

Parte 6 — Correlaciona la transacción

Preguntas

1. ¿La consulta y la respuesta tienen el mismo Transaction ID?
2. ¿El Source/Destination de la respuesta corresponde inversamente a la consulta?
3. ¿Qué tiempo transcurrió entre ambos paquetes?
4. ¿El resultado coincide con lo que esperabas?

Parte 7 — RCODE ≠ Root Cause

Si obtienes NOERROR, describe solamente lo que demuestra.

Si obtienes NXDOMAIN, SERVFAIL, REFUSED u otro resultado, haz lo mismo.

Completa:

Parte 8 — Busca el patrón

Ahora deja de analizar solamente una consulta y observa todas las consultas generadas durante la prueba.

Pregúntate:

• ¿cuántos QNAME diferentes existen?;
• ¿hay un dominio base común?;
• ¿cambian los labels?;
• ¿hay nombres largos?;
• ¿hay apariencia pseudoaleatoria?;
• ¿cuántos FQDN únicos aparecen?;
• ¿hay NXDOMAIN?;
• ¿qué frecuencia observas?;
• ¿existe periodicidad?;
• ¿aparece alguna estructura?

Parte 9 — Correlaciona señales

Completa la siguiente tabla utilizando únicamente aquello que puedas respaldar con la captura.

Parte 10 — Expected vs. Observed

Antes de interpretar, separa expectativa y evidencia.

Si no coinciden, pregunta:

Parte 11 — Construye tu conclusión

Completa la hoja final utilizando la evidencia recopilada.

Reto final

Sin utilizar la interfaz de Inspect para justificar tu respuesta, explica únicamente a partir del PCAP:

1. qué tráfico fue generado;
2. quién lo generó;
3. hacia dónde fue enviado;
4. qué respondió DNS;
5. qué patrones observaste;
6. qué evidencia soporta tus conclusiones;
7. qué información adicional necesitarías para profundizar la investigación.

Si puedes explicar la prueba utilizando únicamente la evidencia de red, has aplicado el objetivo central del curso.

Cierre del Lab 4

El curso comenzó con:

dig example.com

y termina con:

La herramienta puede cambiar. La infraestructura puede cambiar. El escenario puede cambiar.

Pero el método permanece: