Implementação de NIDS com EasyIDS

Apresento uma solução para implementação de um NIDS (Network Intrusion Detection System) com a solução EasyIDS, que é uma customização baseada em CentOS que utiliza o SNORT e possui gerenciamento via web.

[ Hits: 28.475 ]

Por: Fabio Soares Schmidt em 25/09/2010


Pré-requisitos para rodar o NIDS



NIDS (Network Intrusion Detection System) é uma ferramenta para detectar em tempo real falhas de segurança (não confunda com ferramentas de análise de vulnerabilidades, como o NESSUS) ou tentativas de invasão, para isso ele irá capturar os pacotes que passam na rede para analisar se são possíveis ameaças ou não. Para isso, ele deve receber todos os pacotes que trafegam na rede que se deseja monitorar.

Segue um resumo das formas de se utilizar o NIDS, de acordo com o ambiente da rede:

1. HUB

Não creio que alguém irá utilizar HUB para capturar o tráfego, mas serve para diferenciarmos o funcionamento entre um HUB e um SWITCH. Em uma rede conectada por HUB, todos os pacotes são recebidos por TODAS as portas, ou seja, uma informação enviada por um host será recebida por todos os outros hosts da rede, mesmo que não seja o verdadeiro destinatário, isso é muito perigoso pois um atacante pode utilizar um SNIFFER para capturar o tráfego da rede estando conectado em qualquer porta.

Nesta forma, basta conectar o seu NIDS em qualquer porta do HUB.

2.PORT MIRROR

Alguns switches possuem o recurso de PORT MIRROR, que constitui em enviar uma cópia de todos os pacotes que trafegam na rede para uma determinada porta do switch. Alguns fabricantes dão nomes específicos para suas soluções, como Switched Port Analyzer (SPAN) pela Cisco e Roving Analysis Port (RAP) pela 3COM.

Para operar nesta forma, deve-se conectar o NIDS na porta configurada como PORT MIRROR no switch.

3. BRIDGE

Em redes onde o switch não possui o recursos de port mirror, o Snort pode funcionar como uma ponte (bridge), dessa forma o tráfego irá passar por ele de forma transparente. A solução com EasyIDS já vem com o suporte à interfaces bridge.

    Próxima página

Páginas do artigo
   1. Pré-requisitos para rodar o NIDS
   2. A solução EASYIDS
   3. Instalando
   4. Configuração e acesso
Outros artigos deste autor

Criando VPN site-to-site, conectando diversas filiais a matriz com openVPN

Instalação do Oracle 10g R2 no SUSE Linux Enterprise Server 11

Controle de acesso à internet com Squid

SeamlessRDP - Executando aplicações Windows

Leitura recomendada

Identificando dispositivos IoT usando Wireshark e criando uma estratégia interessante de visibilidade em Linux e Unix

Logwatch - Enviando relatórios via e-mail

Netcat - O canivete suíco do TCP/IP

Entendendo SQL Injection

OSSEC HIDS - Instalação e configuração no CentOS 6.5

  
Comentários
[1] Comentário enviado por thiago-p-a em 28/09/2010 - 15:45h

Nesta frase: Network Settings você define qual a interface para o monitoramento da rede e qual é a interface para gerenciamento.

a de monitoramento faz o q? e a de gerenciamento faz o q tbm, ou melhor, a monitoramento ela vai monitorar a rede ela q fica no switch eu acho e a de gerenciamento onde fica, na net??? como posso saber disso alguem pode responder?

[2] Comentário enviado por fs.schmidt em 28/09/2010 - 18:26h

Olá Thiago ! Obrigado por ler o meu artigo

Interface para monitoramento ==> Interface que está configurada para capturar os pacotes para análise, seja conectada ao HUB, port mirror do switch ou em modo bridge

Interface para gerenciamento ==> Interface para acessar a ferramenta, pode ser um ip da sua rede mesmo.

Qualquer duvida entre em contato.

[3] Comentário enviado por obernan em 30/11/2010 - 15:37h

Muito bom seu tutorial, por acaso vc sabe de alguma documentaçao que tenha mais detalhes sobre easyids, tipo configuraçao, sua usabilidade ?
Mas muito obrigado, muito bom artigo !!!!!


Contribuir com comentário




Patrocínio

Site hospedado pelo provedor RedeHost.
Linux banner

Destaques

Artigos

Dicas

Tópicos

Top 10 do mês

Scripts