Ids

229 views

Published on

Published in: Education
0 Comments
0 Likes
Statistics
Notes
  • Be the first to comment

  • Be the first to like this

No Downloads
Views
Total views
229
On SlideShare
0
From Embeds
0
Number of Embeds
3
Actions
Shares
0
Downloads
0
Comments
0
Likes
0
Embeds 0
No embeds

No notes for slide

Ids

  1. 1. Sistemas IDS Introducción Un IDS es un dispositivo que busca patrones de firmas de ataques conocidos en la actividad de red o de un sistema informático. En cuanto a seguridad perimetral se refiere, los IDS de red o NIDS son los más útiles. Analizan el tráfico de red en bruto en busca de patrones de ataque a diferentes niveles de la pila de red. Además, un diseño de IDS basado en red presenta una serie de ventajas con respecto a uno basado en host: 1. Según configures la arquitectura de red, con un único sistema de análisis se puede proteger a toda la organización. No es necesario instalar un IDS en cada sistema, sino analizar el tráfico de red dirigido a ellos. 2. El análisis es en tiempo real, por lo que un atacante no puede borrar evidencias, como en IDS de host, que hacen análisis periódicos de ficheros de logs para detectar amenazas. Un NIDS tiene ciertas limitaciones con respecto a un HIDS. Por ejemplo, no pueden detectar repetidos intentos de hacerse root en un equipo, o un acceso a una shell de root. En definitiva, no están diseñados para monitorizar la actividad dentro de un host, sino para analizar el tráfico que a éste le llega o envía. Un ataque puede ser detectado por 3 motivos: • Por que determinados paquetes de tráfico de red coincida con un patrón de un ataque conocido ( GET /../../../cmd.exe) • Porque haya una actividad de red distinta de la normal en comparación con una línea base de actividad. • Por acciones repetitivas de una frecuencia anormal. Cómo se comporta un IDS ante un supuesto ataque: • Logueando la actividad. • Bloqueando el tráfico. • De forma reactiva. Cómo y donde implementar un NIDS • En un sistema dedicado ubicado en el Gateway de una organización. • En un sistema dedicado que reciba determinado tráfico redirigido por el Gateway de una organización • En un sistema conectado a los diferentes segmentos físicos de red con la posibilidad de recibir todo el tráfico de esos segmentos. Esto puede hacerse de 3 formas: • Si los segmentos físicos de red están en un hub. • Si conectamos el sistema IDS a un switch que permita el port mirroring. • Haciendo pasar el tráfico saliente de un firewall por un TAP, donde estará conectado el sistema IDS (http://www.criticaltap.com). Un TAP es un replicador de información, que desvía físicamente el tráfico saliente de un dispositivo a otro que actúa como puente transparente. Instalación y configuración de Snort • Instalar Snort compilado contra mysql:./configure --prefix=... --with-mysql --enable- dinamycplugin. IMPORTANTE: tener instaladas las libpcap y libpcap-devel, pcre, pcre- devel. • Probar que snort arranca y escanea la red: snort -evi eth0
  2. 2. • Descargarse el repositorio de reglas bajo suscripción (el más actualizado posible). • Instalar las reglas en el directorio de snort • Configurar snort mediante la edición del fichero snort.conf. Algunas variables de entrno fundamentales: • HOME_NET: Es la red local. Contra la que queremos analizar posibles ataques. • EXTERNAL_NET: Red desde la que nos pueden atacar. • DNS_SERVERS, SMTP_SERVERS, HTTP_SERVERS.... • RULE_PATH: Directorio donde se encuentran las reglas de escaneo. • Antes de arrancar snort, si no lo hemos configurado para almacenar las alertas en una base de datos, es necesario crear el directorio /var/log/snort, donde snort va a dejar las alertas en el fichero alerts. • Finalmente arrancar snort en modo daemon: snort -Ddc /tools/snort/etc/snort.conf

×