Modos De OperaçãO Snort Campusparty2010

Modos de operação do Snort Como mitigar ataques a sua rede utilizando o Snort CleBeeR clebeer[at]gmail[dot]com

About me
Atual Mantenedor do EOS Linux
Analista de segurança BRconnection
Coordenador do Laboratório BRC-STR (Brconnection Security Research Team).
9 anos de experiência em Linux
Um dos mantenedores do site da comunidade snort-br
Palestrante em eventos como (FISL e CONISLI)
Staff em eventos de segurança (YSTS e H2HC)
Sócio fundador da ONG HCF (Hackers Construindo Futuros)

Agenda
O que é um IDS
Ataques
Entendendo o Snort
Funcionamento
Pré-processadores
Plugins de saída
Modos de operação
Posicionamento de um IDS
Comunidade snort-br
Perguntas e comentário sobre o projeto HCF

O que é um IDS?
Sistema de detecção de Intrusos
Analisa até a camada de aplicação (OSI)
Apenas monitora
Atuando como IPS pode tomar ações (DROP)
Pode se basear em comportamento ou assinaturas

Tipos de ataques
Ataques externos
Ataques internos
Ataques desestruturados (script kiddies)
Ataques estruturados (Profissionais, empresas)

Ataques externos

Ataques internos

Ataques desestruturados

Ataques estruturados

Entendendo o Snort (história)
Criado em 1998 por Marty Roesch somente como sniffer
Tornou-se um IDS em 1999
Mais de 3.7 Milhões de downloads
Mais de 270.000 usuários registrados
Mais de 6000 linhas de código
Versão atual 2.8.5.2

Funcionamento

Preprocessadores
SfPortscan
Frag3
HttpInspect

sfPortscan
Half connection scan
TCP, UDP & IP scans
Decoy scans
Distributed scans

Frag3
Detecta anomalias nos pacotes fragmentados

Frag evasion

HttpInspect
Normaliza o tráfego http
/ = %2f
.. = %2e%2e
alert tcp $EXTERNAL_NET any -> $HTTP_SERVERS $HTTP_PORTS (msg:"WEB-ATTACKS /usr/bin/id command attempt"; flow:to_server,established; content:" /usr/bin/id "; nocase; classtype:web-application-attack; sid:1332; rev:7;)
%2fusr%2fbin%2fid (bypass)

Plugins de saída
Banco de dados (postgre, mysql, oracle)
Syslog (local e remoto)
tcpdump

Modos de operação
IPS
IDS
Sniffer
Análise de PCAPs

Posicionamento
Somente sensor (port-mirror)
Bloqueio (Bridge, inline, gateway)

Sensores integrados

IPS no Firewall

IDS + IPS

IPS integrado ao Firewall

Comunidade snort-br
Completando 5 anos em 2010
Mais de 500 inscritos na lista de discussão
Participação em eventos
Divulgação de artigos

HCFBrasil Hacker Construindo Futuros www.hcfbr.org contato[at]hcfbr[dot]org

HCF
Como surgiu ?
Qual os nossos projetos
Como participar

Como e onde surgiu a idéia?
Evento YSTS (leilões)
Hackers for Charity (johnny Long)
Primeiro evento H2HC 2009

HCF Projetos
Cusos
Palestras
Desenvolvimento de materiais técnicos

Como participar?
Serviços de gráfica para impressão de material
Contatos com meios de comunicação
Equipamentos
Espaço para treinamentos
Pessoas para criar e manter o site, criar artes (camisetas, logos, material de divulgação,
Editoração de material didático, etc)
Serviços de transporte
Fornecimento de cofee break
Contato: www.hcfbr.org ou através do email contato[ar]hcfbr[dot]org

Dúvidas

Onde me encontrar?
Freenode - #securityguys #snort-br
Congressos
Bares de SP =D

Obrigado
www.snort.org.br
www.snort.org
clebeerpub.blogspot.com
www.brc.com.br
www.hcfbr.org

Modos De OperaçãO Snort Campusparty2010

by clebeer brandao on Jan 27, 2010

Accessibility

Categories

Tags

Upload Details

Usage Rights

1 Embed 5

Statistics

Modos De OperaçãO Snort Campusparty2010 — Presentation Transcript