Revisión práctica de IDS. por Sacha Fuentes

Tamaño: px

Comenzar la demostración a partir de la página:

Download "Revisión práctica de IDS. por Sacha Fuentes"

Gerardo Pérez Espejo
hace 8 años
Vistas:

1 por Sacha Fuentes

2 Análisis forense El objetivo es la reconstrucción de los hechos que tienen lugar desde que el sistema estaba íntegro hasta que se ha detectado el acceso no autorizado Deberemos intentar conocer: Cómo se produjo Identidad del atacante Fecha/s del ataque Objetivos del atacante Datos que ha podido obtener Si es posible, una secuencia temporal de eventos

Deberemos intentar conocer: Cómo se produjo Identidad del atacante Fecha/s del ataque

3 Análisis forense Se debe intentar mantener la máxima información intacta posible Tipos de análisis: Posterior al ataque Anterior al ataque -> IDS

4 Qué es un IDS? Sistema de detección de intrusos Monitorizar en busca de intentos de posibles malos usos o accesos no autorizados En términos informáticos, proceso de seguridad que monitoriza en busca de intentos de comprometer el sistema

5 Porqué es necesario un IDS? Alerta ante ataques Capacidad de reacción Análisis posterior en caso de intrusión No debe ser sustituto de una política de seguridad

6 Tipos de IDS HIDS (Host intrusion Detection System) Información recogida en un solo host NIDS (Network Intrusion Detection System) Información recogida a través de la red DIDS (Distributed Intrusion Detection System) Sensores distribuidos en diferentes puntos de la red

Información recogida a través de la red DIDS (Distributed Intrusion

7 NIDS - Arquitectura NIDS Monitoriza todo el tráfico de un segmento de red Filtra el tráfico Red Detecta tráfico maligno, habitualmente mediante un conjunto de reglas Lanza alertas

8 NIDS Dónde colocarlo Internet NIDS Firewall Internet Firewall NIDS Internet NIDS Firewall NIDS Internet Firewall / NIDS Internet NIDS Firewall DMZ Con NIDS para cada servicio Red interna Con NIDS para detectar ataques hacia fuera

Firewall / NIDS Internet NIDS Firewall DMZ Con NIDS para

9 NIDS Dónde colocarlo Red conexionada mediante hub o mediante switch Seguridad de la máquina que hace de NIDS

10 HIDS Monitor de red Como un NIDS pero sólo examina el tráfico local Monitor de sistema Monitor de entradas Monitor de actividad de root Monitor de ficheros

11 Snort Tipo NIDS. Funciona mediante un conjunto de reglas a través de las cuales se hace pattern-matching con los paquetes Licencia GPL Su creador da soporte comercial a través de la compañía Sourcefire

12 Snort - Arquitectura Logging and alerting Detection engine Packet decoder Sniffer Red

13 Snort - Arquitectura Logging and alerting Detection engine Sniffer: Utiliza libpcap -> multiplataforma Interface de red en modo promiscuo Packet decoder Sniffer Red

14 Snort - Arquitectura Logging and alerting Detection engine Packet decoder Sniffer Packet decoder: Decodifica paquetes y los guarda en memoria Trata muchos tipos de protocolos (Ethernet, PPP,...) y paquetes (IP, ARP,...) Los paquetes decodificados son tratados mediante preprocesadores Red

memoria Trata muchos tipos de protocolos (Ethernet, PPP,.

15 Snort - Arquitectura Logging and alerting Detection engine Packet decoder Detection engine: Compara paquetes leídos con reglas Reglas agrupadas por categorias Cuando el paquete coincide con alguna de las reglas se pasa a la siguiente capa Sniffer Red

reglas Reglas agrupadas por categorias Cuando el paquete

16 Snort - Arquitectura Logging and alerting Detection engine Packet decoder Logging and alerting: Muchos tipos de salidas Ficheros de texto Syslog SMB XML Bases de datos... Sniffer Red

18 Logcheck Tipo HIDS Monitorización de logs Envía mails con la actividad sospechosa

19 Bsign Comprobación de integridad y autenticidad de ficheros Guarda el hash en el propio fichero (solo ejecutables) y una firma del hash Funciona mediante un sistema de clave pública

20 Bsign - Digsig Módulo del kernel (Linux) Permite que el kernel solo cargue ejecutables con firma correcta No permite la ejecución de ejecutables sin firma

21 Técnicas para burlar IDS Normalmente, basadas en que el IDS no vea lo mismo que el destino Suelen aprovecharse de diferencias en el modo de tratar alguna de las capas por las que pasa la información El IDS necesita saber como funcionan todos los sistemas que monitoriza

Documentos relacionados

INSTALACION Y CONFIGURACION DE UN NIDS (SNORT) EN UBUNTU

INSTALACION Y CONFIGURACION DE UN NIDS (SNORT) EN UBUNTU VIVIANA ISABEL ESPINOSA PEÑA 1150017 ANA KATERINE MONTESINOS GELVEZ 1150013 PROFESOR: JEAN POLO CEQUEDA MATERIA: SEGURIDAD INFORMATICA UNIVERSIDAD