Page 1

La mayoría de Firewalls funcionan como guardias frontales únicamente  Los IDS son el equivalente a los sistemas de alarma con multiples sensores y monitoreo por circuito cerrado de video  Muchas veces el enemigo ya está dentro  Algunos productos de Firewall han incluido IDS pero se siguen llamando Firewalls. 

Para que un IDS si ya tenemos Firewall? recopilado por Ing. Edgar F. Zapana Roque


recopilado por Ing. Edgar F. Zapana Roque


Portable (Linux, Windows, MacOS X, Solaris, BSD, IRIX, Tru64, HP-UX, etc)

INTRUSION DETECTION SYSTEM con SNORT


Intrusion System Detection (IDS)  Monitoriza  Detecta intentos de intrusión  Previene 

¿QUÉ ES UN IDS?


Basados en Host Basados en Red (NIDS) 

TIPOS DE IDS


podemos ver en consola y en tiempo real qué ocurre en nuestra red, todo nuestro tráfico) 

Más que un sniffer

Detectan trafico no deseable

... Y luego actúa en consecuencia

NIDS

Además de NIDS puede actuar como un simple sniffer o bitacora de paquetes con especificaciones avanzadas No bloquea intrusos, asume que alguien está monitoreando el servicio


Implementa un motor de detección de ataques y barrido de puertos

Introducción a Snort 

 

Es un sniffer con un potente sistema de detección de intrusiones. Su sistema de detección esta basado en reglas Tiene multitud de opciones de loggin 

Logs descodificados (texto)

Logs tipo tcpdump (binario)

Logs al syslog en tiempo real

Winpopup por samba

SQL, Postgresql, UnixODBC

Es GNU !!!!


Utiliza libpcap o WinPcap como fuente de tráfico El sistema está basado en plugins que permiten una flexibilidad prácticamente ilimitada, activando módulos que vienen con la distribución o creando nuevos Utiliza un motor de detección basado en reglas

Diseño de Snort


Data Flow Snort Packet Stream

Sniffing

Preprocessor (Plug-ins) Detection Engine (Plug-ins)

Output Stage (Plug-ins)

Data Flow

Packet Decoder

Alerts/Logs


Typical locations for snort


¿Qúe puede detectar Snort? Escaneos Basicos Escaneos Stealth/Fin OS Fingerprint Ejecución de exploits conocidos Trafico no deseado (Napster,Gnutella) DDoS Intentos de penetración de otros tipos (virus, backdoors) Lo que queramos


Poniéndolo en marcha Instalación Configuración /etc/snort /etc/snort/rules.base

Reglas: /etc/snort/10102k.rules /etc/snort/vision.conf /etc/snort/misreglas.conf


rules.base ############ Fichero de configuraci贸n para Snort #################

#### Variables que definen nuestra red #### var INTERNAL 150.244.x.x/24 var EXTERNAL !150.244.x.x/24 var HOME_NET 150.244..x.x /24 var DNSSERVERS 150.244 .x.x 150.244 .x.x 150.244 .x.x var RUIDOSOS 150.244 .x.x 150.244 .x.x 150.244 .x.x 150.244 .x.x ####

Preprocesadores del trafico

####

preprocessor http_decode: 80 443 8080 preprocessor minfrag: 128 preprocessor portscan: 150.244.x.x /24 6 2 /var/log/snort/snort_portscan.log preprocessor portscan-ignorehosts: $RUIDOSOS $DNSSERVERS #### Tipo de login #### output alert_syslog: LOG_LOCAL1 LOG_ALERT #### Reglas de filtrado include /etc/snort/10102k.rules include /etc/snort/vision.conf

####

###### Puedes incluir aqui tus propio fichero de reglas ########## # include /etc/snort/misreglas.conf


=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+ 11/09-11:12:02.954779 10.1.1.6:1032 -> 10.1.1.8:23 TCP TTL:128 TOS:0x0 ID:31237 IpLen:20 DgmLen:59 DF ***AP*** Seq: 0x16B6DA Ack: 0x1AF156C2 Win: 0x2217 TcpLen: 20 FF FC 23 FF FC 27 FF FC 24 FF FA 18 00 41 4E 53 ..#..'..$....ANS 49 FF F0 I.. =+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+

11/09-11:12:02.956582 10.1.1.8:23 -> 10.1.1.6:1032 TCP TTL:255 TOS:0x0 ID:49900 IpLen:20 DgmLen:61 DF ***AP*** Seq: 0x1AF156C2 Ack: 0x16B6ED Win: 0x2238 TcpLen: 20 0D 0A 0D 0A 53 75 6E 4F 53 20 35 2E 37 0D 0A 0D ....SunOS 5.7... 00 0D 0A 0D 00 ..... =+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+

What Do The Packet Dumps Look Like?


Crear reglas propias 

Rule headers Acción Protocolo Direccion origen / Puerto origen Direccion destino / Puerto destino

Rule options msg content

Rule Header

Rule Options

Alert tcp 1.1.1.1 any -> 2.2.2.2 any (flags: SF; msg: “SYN-FIN Scan”;) Alert tcp 1.1.1.1 any -> 2.2.2.2 any (flags: S12; msg: “Queso Scan”;) Alert tcp 1.1.1.1 any -> 2.2.2.2 any (flags: F; msg: “FIN Scan”;)


Rule examples destination ip address Apply to all ip packets Destination port

Source ip address

Source port # Rule options Alert will be generated if criteria met

Rule header

recopilado por Ing. Edgar F. Zapana Roque


Ejemplo de regla 

Rule Header Alert tcp !$HOME_NET any <> $HOME_NET any

Rule Options (msg: "Transferencia de mp3"; flags: AP; content: ".mp3 ";)


bad-traffic.rules exploit.rules scan.rules  finger.rules ftp.rules telnet.rules  smtp.rules rpc.rules rservices.rules  dos.rules ddos.rules dns.rules  tftp.rules web-cgi.rules web-coldfusion.rules  web-frontpage.rules web-iis.rules web-misc.rules  web-attacks.rules sql.rules x11.rules  icmp.rules netbios.rules misc.rules  backdoor.rules shellcode.rules policy.rules  porn.rules info.rules icmp-info.rules  virus.rules local.rules attack-responses.rules 

Snort Rules


Physical layer

TCP/IP layer Snort work on network (IP) layer, transport (TCP/UDP) layer protocol, and application layer


Implementaci贸n (2) Cron

Report Generator Packet Stream

SNORT Sniffing

Rules file To Alert File recopilado por Ing. Edgar F. Zapana Roque

Alert File


edgarzr@gmail.com

SNOR por EDGAR FREDDY ZAPANA ROQUE  

Es in IDS que monitorea la pequeña red y avisar a tiempo si estamos recibiendo una intrusion por parte de hackers. solo avisa no detiene la...

Read more
Read more
Similar to
Popular now
Just for you