jueves, 22 de septiembre de 2011

INSTALANDO SNORT HIDS

IDS

Un sistema de detección de intrusos (o IDS de sus siglas en inglés Intrusion Detection System) es un programa usado para detectar accesos no autorizados a un computador o a una red. Estos accesos pueden ser ataques de habilidosos hackers, o de Script Kiddies que usan herramientas automáticas.
El IDS suele tener sensores virtuales (por ejemplo, un sniffer de red) con los que el núcleo del IDS puede obtener datos externos (generalmente sobre el tráfico de red). El IDS detecta, gracias a dichos sensores, anomalías que pueden ser indicio de la presencia de ataques o falsas alarmas.


HIDS

Es un Sistema de Deteccion de Intrusos basado en Host el cual registra los eventos ocurridos en este ya que generalmente cuando hay una intrusion quedan rastros en lugares como el registro o las DLL 
Snort 

Es un sniffer de paquetes y un detector de intrusos basado en red (se monitoriza todo un dominio de colisión). Es un software muy flexible que ofrece capacidades de almacenamiento de sus bitácoras tanto en archivos de texto como en bases de datos abiertas como lo es MySQL. Implementa un motor de detección de ataques y barrido de puertos que permite registrar, alertar y responder ante cualquier anomalía previamente definida. Así mismo existen herramientas de terceros para mostrar informes en tiempo real (ACID) o para convertirlo en un Sistema Detector y Preventor de Intrusos.


Procedemos a descargar el IDS snort desde la pagina oficial (Snort.org)



Lo ejecutamos...


Aceptamos la licencia de instalación 


Especificamos que si vamos a utilizar una base de datos, soporta base de datos oracle, mysql...


Agregamos todos los componentes



La ruta donde instalaremos el Snort


Completado


El snort nos pide la librería de winpcap 


La descargamos desde la pagina oficial (Winpcap.org)






Agregamos la licencia


Instalamos


Nos paramos en la ruta donde instalamos el snort C:\ y listamos con el comando dir , podemos ver una carpeta llamada snort, que son todos los archivos


Nos paramos en la carpeta y listamos, vemos un bin (binario) 



Nos paramos en el binario y listamos y podemos ver el ejecutable snort.exe donde haremos todos las acciones 



Ejecutamos snort.exe -W y vemos el identificador de tarjeta y la dirección IP 


 Con un cliente linux en la misma red es donde vamos a simular los ataques 



Ejecutamos el snort.exe -v -i 1(identificador de tarjeta) para ponerlo en modo de escucha 



Probamos haciéndole un PING y podemos ver que nos alerta de que la ip 192.168.10.3 le esta haciendo un ICMP al host


También simule un ataque con escritorio remoto desde un cliente linux y me muestra la ip y el puerto 3389 que es el del escritorio remoto


Para ver los log's mas detalladamente, con el comando mkdir cree la carpeta capturas y nos paramos en el directorio bin


Ejecutaremos el snort.exe -l y la ruta donde creamos la carpeta para que se alojen todos los logs


Simulamos el ataque por escritorio remoto 


Nos paramos en la carpeta de capturas y listamos, podemos ver todos los log que se generaron, nos muestra las alertas en la fecha y hora que fue "atacado"


Nos paramos en el ejecutable -r y copiamos tal cual el nombre del log y le voy hacer un more para visualizarlo mejor 


Podemos ver los logs del acceso remoto por el puerto 3389


Alguna duda o sugerencia
danielpalacio92@gmail.com

No hay comentarios:

Publicar un comentario en la entrada