IDS
Un sistema de detección de intrusos (o IDS de sus siglas en inglés Intrusion Detection System) es un programa usado para detectar accesos no autorizados a un computador o a una red. Estos accesos pueden ser ataques de habilidosos hackers, o de Script Kiddies que usan herramientas automáticas.
El IDS suele tener sensores virtuales (por ejemplo, un sniffer de red) con los que el núcleo del IDS puede obtener datos externos (generalmente sobre el tráfico de red). El IDS detecta, gracias a dichos sensores, anomalías que pueden ser indicio de la presencia de ataques o falsas alarmas.
HIDS
Es un Sistema de Deteccion de Intrusos basado en Host el cual registra los eventos ocurridos en este ya que generalmente cuando hay una intrusion quedan rastros en lugares como el registro o las DLL
Snort
Es un sniffer de paquetes y un detector de intrusos basado en red (se monitoriza todo un dominio de colisión). Es un software muy flexible que ofrece capacidades de almacenamiento de sus bitácoras tanto en archivos de texto como en bases de datos abiertas como lo es MySQL. Implementa un motor de detección de ataques y barrido de puertos que permite registrar, alertar y responder ante cualquier anomalía previamente definida. Así mismo existen herramientas de terceros para mostrar informes en tiempo real (ACID) o para convertirlo en un Sistema Detector y Preventor de Intrusos.
Procedemos a descargar el IDS snort desde la pagina oficial (Snort.org)
Lo ejecutamos...
Aceptamos la licencia de instalación
Especificamos que si vamos a utilizar una base de datos, soporta base de datos oracle, mysql...
Agregamos todos los componentes
La ruta donde instalaremos el Snort
Completado
El snort nos pide la librería de winpcap
La descargamos desde la pagina oficial (Winpcap.org)
Agregamos la licencia
Instalamos
Nos paramos en la ruta donde instalamos el snort C:\ y listamos con el comando dir , podemos ver una carpeta llamada snort, que son todos los archivos
Nos paramos en la carpeta y listamos, vemos un bin (binario)
Nos paramos en el binario y listamos y podemos ver el ejecutable snort.exe donde haremos todos las acciones
Ejecutamos snort.exe -W y vemos el identificador de tarjeta y la dirección IP
Con un cliente linux en la misma red es donde vamos a simular los ataques
Ejecutamos el snort.exe -v -i 1(identificador de tarjeta) para ponerlo en modo de escucha
Probamos haciéndole un PING y podemos ver que nos alerta de que la ip 192.168.10.3 le esta haciendo un ICMP al host
También simule un ataque con escritorio remoto desde un cliente linux y me muestra la ip y el puerto 3389 que es el del escritorio remoto
Para ver los log's mas detalladamente, con el comando mkdir cree la carpeta capturas y nos paramos en el directorio bin
Ejecutaremos el snort.exe -l y la ruta donde creamos la carpeta para que se alojen todos los logs
Simulamos el ataque por escritorio remoto
Nos paramos en la carpeta de capturas y listamos, podemos ver todos los log que se generaron, nos muestra las alertas en la fecha y hora que fue "atacado"
Nos paramos en el ejecutable -r y copiamos tal cual el nombre del log y le voy hacer un more para visualizarlo mejor
Podemos ver los logs del acceso remoto por el puerto 3389
Alguna duda o sugerencia
danielpalacio92@gmail.com
No hay comentarios:
Publicar un comentario