1/15/2011

Snort "for dummies": Insta-Snort


Hoy voy a hablar de Snorby, no me centraré en los sistemas de detección de intrusos (IDS), ni en Snort porque hay muchísima documentación al respecto. Snorby es un "fronted" para el IDS Snort, sus creadores tienen el objetivo de conseguir una herramienta altamente competitiva para la monitorización de redes tanto en entornos privados como empresariales.

Llevaba tiempo siguiendo el proyecto desde las versiones iniciales buscando algo similar al IDS Policy manager (sistemas Windows) para entornos Linux. Con la llegada de la versión 2.0 parece, bajo mi punto de vista, que comienza a estar preparado para su uso en entornos de producción. Aunque de momento no dispone de muchas de las funcionalidades del IDS Policy Manager, nos ofrece otras ventajas y es mucho más bonito :). Podemos probar una demo en la siguiente dirección: http://demo.snorby.org/users/login

NOTA: demo@snorby.org/snorby






De las opciones que tenemos para la instalación prefiero Insta-Snort, ya que es una distribución basada enTurnKey Linux muy sencilla de instalar y que provee de todo lo necesario para que podamos disponer un sistema Snort+Barnyard2 funcionando con una interfaz gráfica muy usable y para. De esta forma podemos estudiar la información que proporcionan los sensores de una forma cómoda y ordenada.

La instalación no supone ninguna complicación, comentar simplemente que es recomendable obtener un código Oink para actualizar las reglas de Snort (registro). De forma opcional, podemos utilizar la nueva funcionalidad que permite analizar capturas de paquetes con formato .pcap, para ello debemos registrarnos en el proyecto OpenFPC. Si necesitamos que snort escuche por otra interfaz que no sea eth0 debemos seguir este manual.

Para acceder a la interfaz gráfica nos conectamos al servidor web de la máquina y utilizamos los datos del usuario administrador por defecto, es más que aconsejable crear otro administrador y eliminar éste una vez logueados.

NOTA: snorby@snorby.org/snorby


Listo, en pocos pasos ya podemos disfrutar de nuestro IDS, en la imagen se ven varias alertas porque fue tomada unos días después de realizar la instalación, para comprobar su funcionamiento vamos a realizar un escaneo de puertos con el nmap a ver si lo detecta. En esta ocasión voy a ponérselo fácil, en otras realizaré pruebas mas complejas a ver como responde.

nmap -F 192.168.0.X

:)




Jesús Pérez