[tutorial] detector de intrusão snort: 1 e 2º parte

kodo no kami · Abril 28, 2017, 01:02:58 AM

então galera quase todo mundo uma vez ou outra acaba ficando preocupado com a segurança do computador seja por causa de um virus qualquer ou ate de um hacker invadir o computador e roubar os dados (ahh meus nudes kkk), embora a maioria dos ataques hoje seja voltados a engenharia social e não é atoa ja que o lado mais fraco do sistema é o ser humano que o controla ou seja se a gente nao baixar o malware o computador nao sera infectado por um (tirando alguns tipos especificos é claro como o worms e auto-infect), mesmo usando nosso antivirus preferido que consideramos como o melhor não estamos seguros isso por que ate mesmo o antivirus é possivel burlar bastando usar um crypter para deixar o malware indetectável e isso vale para qualquer antivirus independente se é pago ou nao (ou aqueles que instala automaticamente e magicamente do nada, saporra de antivirus é o proprio virus kkk), com isso a gente nao pode deixar toda a segurança baseada em um antivirus isso é se ele é possivel burlar o que vai te proteger entao contra uma invasão? no caso um bom firewall bem configurado pode deixar seu sistema mais seguro contra alguns tipos especificos de malwares principalmente os de acesso remoto (trojan, backdoor, rat), uma boa sandbox pode proteger seu sistema contra modificação de alguns virus, outra ferramenta sendo ela que vamos ver nesse tutorial são os detectores de intrusos tambem chamado de IDS, os detectores de intruso detecta padroes específicos de ataque especificos e com base neles é possivel detectar um ataque em tempo real e com isso tomar determinadas medidas durante um ataque, o IDS que vamos ver nesse tutorial é o snort que é uma ferramenta com base em comandos e pode ser baixado no site oficial ela tem tanto para windows quanto para linux

site oficial

o snort funciona como um sniffer ou seja ele é um IDS passivo que fica capturando os pacotes passados pela rede ou pela maquina dependendo da topologia ou do que os conecta, ele tambem permite armazenar os pacotes que podem ser lidos por outros programas como tcpdump e wireshark, alem de ser possivel filtrar pacotes especificos e ignorar os outros ou seja se voce fosse detectar ataques de DNS nao precisaria mexer com pacotes TCP ja que o DNS usa UDP ou ate melhor filtra apenas a porta de DNS, o snort trabalha com regras especificas e é por essas regras que detectamos padroes de ataque ou seja voce pode criar regras especificas para ataques especificos (descubra como um ataque funciona com isso voce vai descobrir como atacar da mesma forma e ao mesmo tempo vai aprender a se proteger desse ataque), com o snort voce sabendo como o ataque funciona voce pode criar uma regra que detecta esse ataque e é isso que vamos aprender mais para frente criar regras e usar ferramenta a snort, antes disso vou dizer uma coisa bem legal uma forma de usar uma maquina para proteger a rede toda vamos ver a melhor topologia para o uso dele no caso, como ja sabemos o snort é passivo ou seja fica apenas capturando entao ou trafego da rede precisa passar pela maquina que é snort antes das outras ou usar um hub (no caso o hub ele envia o pacote para todas as portas dele ou seja independente se o pacote e para a maquina ou nao ela vai receber o pacote, diferente do que acontece com um switch ou roteador), outra coisa que precisamos é usar a maquina snort conectada diretamente ao modem como ponte (bridge) isso por que alguns modens tambem atua como roteador e eles mesmo fazem a conexao com o provedor e ao mesmo tempo NAT com a rede interna ou seja toda a maquina ligada ao modem seja por um hub estaria conectada a internet diferente do modo bridge que cada maquina teria que fazer a conexao com provedor para esta ligada a internet (esse modo é menos usado por que os provedores limita a quantidade de conexao ja que cada conexao de cada maquina sua recebe um IP valido do provedor ou seja muitas maquinas dos clientes acabaria esgotando o range de IP do provedor diferente do modo roteador ou ate usar um roteador mesmo para conectar no modem ja que so receberia um IP), entao kodo se é limitado por que usar esse modo? pelo simples fato que o modo bridge nao precisa abrir porta ja que todas as portas referente ao modem e aquele IP vai esta liberada para aquela maquina especifica por outro lado se usar o modo roteador e a pessoa de fora tentar invadir seu servidor http que esta na sua maquina se nao estiver liberado a porta nem vai chegar na sua maquina com isso o snort nao vai detectar a tentativa de invasao, uma forma de contonar as conexões do modo bridge é transformar sua maquina em um servidor de proxy ou seja todas as maquina na rede interna usa a sua maquina para conectar a internet outra forma seria tranforma sua maquina em um roteador que é mais facil no linux ja que é so setar um numero em arquivo

http://i65.tinypic.com/1212zc0.jpg

com essa topologia a maquina que tem o snort pode tanto capturar os pacotes que vem da internet quanto os ataques que parte de dentro da rede (temos que considerar tambem que nao é topologia mais segura ja que se a maquina snort for comprometida ja era voce vai ter grandes problemas kkk), bom esquecendo um pouco a parte teorica se nao isso aqui vai ficar um pouquinho grande vamos aprender usar o snort no caso nao vou abordar a instalação dele ja que nao é muito complicada porem se tiver duvida eu faço um tutorial apenas da instalação dele \o, o primeiro comando que a gente pode ver no snort é apenas ele sem nenhum argumento isso faz ele capturar os pacote como sniffer

[tutorial] detector de intrusão snort: 1 e 2º parte

kodo no kami

tvtoon

kodo no kami