REPUBLICA BOLIVARIANA DE VENEZUELA MINISTERIO DE EDUCACION CULTURA Y DEPORTE UNIVERSIDAD POLITÉCNICA TERRITORIAL DE ARAGUA "DR. FEDERICO BRITO FIGUEROA" DEPARTAMENTO DE POSTGRADO - TELEMATICA MATERIA: PRACTICAS INTEGRALES DE REDES
Facilitadora:
Integrantes:
Profa.: Yasunari Ramírez
Clemente Juan C.I:15.991.773 Rodríguez Javier C.I:16.803.141 Romero Abel C.I:16.810.698 La Victoria, Edo. Aragua.
Snort
Es un sniffer de paquetes y un detector de intrusos basado en red (se monitoriza todo un dominio de colisión). Es un software muy flexible que ofrece capacidades de almacenamiento de sus bitácoras tanto en archivos de texto como en bases de datos abiertas como lo es MySQL. Implementa un motor de detección de ataques y barrido de puertos que permite registrar, alertar y responder ante cualquier anomalía previamente definida. Así mismo existen herramientas de terceros para mostrar informes en tiempo real (ACID) o para convertirlo en un Sistema Detector y Preventor de Intrusos. Aún cuando tcpdump es considerada una herramienta de auditoría muy útil, no se considera un verdadero IDS puesto que no analiza ni señala paquetes por anomalías. tcpdump imprime toda la información de paquetes a la salida en pantalla o a un archivo de registro sin ningún tipo de análisis. Un verdadero IDS analiza los paquetes, marca las transmisiones que sean potencialmente maliciosas y las almacenas en un registro formateado, así, Snort utiliza la biblioteca estándar libcap y tcpdump como registro de paquetes en el fondo. Puede funcionar como sniffer (podemos ver en consola y en tiempo real qué ocurre en nuestra red, todo nuestro tráfico), registro de paquetes (permite guardar en un archivo los logs para su posterior análisis, un análisis offline) o como un IDS normal (en este caso NIDS). Cuando un paquete coincide con algún patrón establecido en las reglas de configuración, se logea. Así se sabe cuándo, de dónde y cómo se produjo el ataque. La característica más apreciada de Snort, además de su funcionalidad, es su subsistema flexible de firmas de ataques. Snort tiene una base de datos de ataques que se está actualizando constantemente y a la cual se puede añadir o actualizar a través de la Internet. Los usuarios pueden crear 'firmas' basadas en las características de los nuevos ataques de red y enviarlas a la lista de correo de firmas de Snort, para que así todos los usuarios de Snort se puedan beneficiar. Esta ética de comunidad y compartir ha convertido a Snort en uno de los IDSes basados en red más populares, actualizados y robustos. Resulta imprescindible tomar más medidas complementarias al amparo de esta alarma que salta. Un cortafuego añadido aporta en conjunto una seguridad bastante aceptable. Siguiendo la analogía de la casa, el cortafuegos sería la valla protectora o el vigilante de seguridad que controla en la puerta quién entra, hacia dónde se dirige y de dónde viene. Los IDS por tanto no garantizan la seguridad, pero, dentro de una buena política que incluya autenticación de usuarios, control de acceso, cortafuegos, encriptación de datos y evaluación de vulnerabilidades, se puede aumentar enormemente las posibilidades de que tus datos y tu sistema, sólo te sigan perteneciendo a ti. Los sistemas de detección de intrusos proporcionan tres funciones esenciales de seguridad:
Monitorizan:
Esto es, el IDS mantiene siempre un ojo en la red, observando y escudriñando el tráfico en busca de cualquier paquete susceptible de contener código no deseado. Qué visita quién y cuándo lo hace en nuestra red, quién viene desde el exterior y qué busca... etc. En este sentido actúa exactamente igual que un sniffer. De hecho, cabe la posibilidad de utilizarlos como tal. Detectan :
Usan políticas (totalmente configurables) para definir los actos sospechosos de todo ese tráfico que provocarán una alarma si ocurren. Los patrones se pueden actualizar cada cierto tiempo si se descubren nuevos tipos de ataques. Responden :
Esta alarma puede venir en forma de archivos en el sistema, páginas html dinámicas con gráficos o incluso correos con la información necesaria. También podría incluir la expulsión de un usuario del sistema... etc. A la hora de realizar labores de forense (tras un ataque, determinar el alcance, evaluar los daños, e Intentar cazar al autor) resulta de gran ayuda. Un elaborado registro de las incidencias ocurridas en la red, con el contenido de los paquetes de cada "visita" resulta imprescindible para realizar una buena labor de investigación, Pero para ello, no se pueden alojar los logs dentro de la propia máquina. Todos sabemos lo sencillo que resulta borrarlos si un atacante llega a tener el control de servidor. Lo mejor es instalar una base de datos en un sistema remoto que almacene los registros ordenadamente, y de esta forma, también puedan ser consultados de manera sencilla. Veamos a continuación un sencillo procedimiento para instalar SNORT en Ubuntu:
Lo primero que hay que hacer es abrir una terminal presionando el botón de Aplicaciones del panel superior del sistema operativo, luego seleccionar Accesorios y posteriormente Terminal. Para descargar la versión más conveniente de Snort para las versiones del software que se tienen instaladas en el equipo, así como todas las dependencias necesarias para que Snort funcione correctamente, se debe ejecutar con privilegios de administrador la instrucción que se debe ejecutar en la siguiente: apt-get install snort. (Ver Figura 1).
Figura 1. Instalación de SNORT.
Inmediatamente se le solicitará la contraseña del administrador para luego analizar qué paquetes se necesitan descargar e instalar. Cuando se le pregunte si desea descargar e instalar los paquetes, Elija la opción sí . “
”
Instalación de SNORT (Dependencias) .
En seguida iniciará la instalación. Espere hasta que se le pregunte la interfaz de red por la que Snort va a escuchar, elija por ejemplo la interfaz (eth0) y presione Enter . Posteriormente, se le solicitará la red y el intervalo de la misma para la cual Snort va a funcionar, especificando la dirección IP de la red y la máscara de subred utilizando la diagonal. “
”
Figura 2. Definición de la red y el intervalo de la misma para la cual Snort va a funcionar.
Una vez introducidos esos datos, sólo queda esperar para que la instalación de Snort se complete. Se puede modificar la configuración con la que Snort se instala de forma predeterminada y así poder controlar el momento en el que el IDS debe iniciarse, qué redes monitorear, qué tipos de informes se pueden entregar, a qué email enviar los resúmenes, etc. Para entrar a este modo avanzado de configuración, teclear en la terminal sudo dpkg-reconfigure snort. (Ver figura 3). A dicha interfaz se le configuró un intervalo de direcciones IP, sobre las cuales trabajaría Snort. En este caso se utilizó la IP 192.168.0.0/24.
Posteriormente, continúa la instalación automática de Snort.
Seguidamente, se utilizaron los comandos dpkg-reconfigure configuración avanzada de Snort.
snort
Figura 3. Entrar al modo avanzado de configuración en SNORT.
Figura 4. Se selecciona el arraque del Snort.
para la
Figura 5. Configurar correo electrónico para generar resúmenes en SNORT.
Figura 6. Se configura un número mínimo de ocurrencias antes de que se incluya una alerta en los informes. El número de ocurrencias que se coloco fue 1.
A continuación, se utilizó los comando snort – v – i eth0 , el cual sirve para desplegar los resultados de Snort y la interfaz de red por donde se escucha.
Para crear unas reglas de prueba en el archivo general de Snort, se procedió a teclear los comandos gedit /etc/snort/rules/alarmas.rules Ya estando en el editor de texto se agregaron dos reglas, como se muestra en la siguiente imagen.
Seguidamente, se tuvo que agregar una referencia al archivo snort.conf del archivo que se creó en el paso anterior utilizando el comando gedit /etc/snort/snort.conf. En lo que se abre el editor de texto se tuvo que agregar la línea include $RULE_PATH/alarmas.rules.
Finalmente, para probar las reglas que se crearon se teclea – A console – c /etc/rules/alarmas.rules – i eth0. Las cuales adicionalmente se van abriendo las páginas en las que se les crearon las reglas, desde alguna de las estaciones de trabajo que estén dentro del rango de direcciones IP establecidas en la configuración de Snort.
A continuación se muestran los resultados de las pruebas realizadas .
