Como implementar un EasyIDS en la Red

Como dije anteriormente EasyIDS es un excelente conjunto de herramientas de Linux, basada en CentOS, que permite configurar de manera rápida un sistema de detección de Intrusos potente, mediante el uso de la herramienta Snort al igual que otra herramienta de red tan potente y sencilla como es  Ntop.

Sin embargo no explique la manera en que EasyIDS obtenía los datos de la red, hoy explicare brevemente la manera en que realice la conexiones para echar a andar mi pequeño IDS, cabe mencionar que actualmente esta funcionando y recibiendo trafico de al menos unas 500 Computadoras.

Configuración de un spam port en Switch Cisco

Herramienta de Monitoreo de Red “EasyIDS”

EasyIDS es una excelente distribución de Linux, basada en CentOS, que permite configurar de manera rápida un sistema de detección de Intrusos potente, mediante el uso de la herramienta Snort al igual que otra herramienta de red tan potente y sencilla como es Ntop

EasyIDS también posee herramienta como arpwatch, al igual que permite al administrador utilizar herramientas como traceroute o nmap que podrían generar al administrador del sistema información adicional.

El primer paso consiste en descargar y grabar la imagen iso en un CD, lo ideal y recomendable seria descargar la imagen desde el sitio oficial: http://www.skynet-solutions.net/About-EasyIDS

Una vez que se cuenta con la imagen se procede al proceso de instalación, en este caso se requiere una equipo con las siguientes características:

Nagios, Monitorización de Routers y Switches

En esta publicación, explicare brevemente el proceso de monitorizar un switch cisco por medio de la herramienta nagios, el proceso para monitorizar un enrutador es el mismo. Es importante recordar que solamente es posible monitorizar dispositivos que sean administrables.

Los equipos no administrables no pueden ser monitorizados de ninguna manera, debido a que estos no poseen una dirección IP. La selección de equipos de telecomunicaciones no administrables, realmente dependerá de los alcances que se pretenden en una red.

En este caso explicare la forma de monitorizar un switch cisco modelo 2950T de 24 puertos, para este equipo verificaremos las perdidas de paquetes, tiempo de respuesta y verificaremos el tiempo que este ha estado disponible, mediante el uso de snmp.

Herramienta de monitoreo de Red “Nagios”

Nagios es una herramienta de monitorización de redes de código abierto, muy utilizada por el personal de redes que permite controlar el estado o disponibilidad de equipos asi como de servicios de redes. Entre los servicios que pueden monitorizarse con nagios tenemos los siguientes: SMTP, POP, HTML, SNMP entre otros. Asi como también es posible obtener información sobre los recursos de sistemas de algunos equipos.

Nagios permite al equipo de IT monitorizar todos los componentes de una red, desde las métricas, protocolos, servicios, aplicaciones, servidores, switches, enrutadores. A demás permite que el personal se encuentre informado de todos los eventos que suceden, desde la falla hasta el proceso de recuperación de cada evento. Permite mantener un nivel de escalación, importante para garantizar que los las alertas sean atendidas por el personal a cargo. Nagios sirve como una herramienta de apoyo para los administradores ya que permite visualizar información histórica de las fallas o capacidades de los recursos y asi evitar fallos futuros mediante la planeación anticipada de recursos de la infraestructura gestionada.

Para esta demostración utilizare un PC con sistema operativo Fedora core 16.

Herramienta de monitoreo de Red "Smokeping"

Smokeping es una herramienta de monitoreo de red, similar a MRTG, permite medir la latencia de la red de acuerdo a ciertos destinos. Permite visualizar los resultados por medio de una interface gráfica muy sencilla. Utiliza RRDtool para graficar y almacenar la información, permitiendo utilizar eficientemente los recursos del equipo monitor. Es una herramienta sencilla de instalar y configurar.

En este caso explicare brevemente el proceso de instalación de smokeping en un PC, con sistema operativo Ubuntu server 11.04

Proceso de instalación:

derman@netadm2# sudo su

derman@netadm2# apt-get install smokeping

Este comando instalara los paquetes necesarios por la aplicación, de manera automática.

Herramienta de monitoreo de Red "fping"

Para seguir hablando sobre el tema de monitoreo de la red, algunas veces es necesario realizar una prueba rápida sobre los equipos que se encuentran actualmente conectados en la red. para saber si un equipo esta conectado actualmente es posible utilizar el comando arping (para ver mas >>> herramienta arping) siempre y cuando el equipo se encuentre en el mismo segmento de red que la computadora desde donde realizamos el diagnostico. Otra opción es utilizar el comando ping (para ver mas >>> diagnostico con ping) este tiene la característica de hacer la prueba aunque los equipos no estén en el mismo segmento de red.

Sin embargo ninguna de estas herramientas resulta útil cuando se desea realizar el diagnostico sobre un grupo de equipos mas grande, por lo que recomendare el uso del comando fping para realizar esta pequeña tarea, mientras da tiempo para tomarse un delicioso café.

Herramienta de monitoreo de Red "arping"

arping es una herramienta de monitoreo de red, que se utiliza para detectar si un equipo esta activo o bien si existe problemas con direcciones ip duplicadas. Esta herramienta funciona de manera similar al ping, sin embargo ping utiliza el protocolo icmp el cual es enrutable y funciona para hacer pruebas a nivel de capa 3 del modelo OSI, por el contrario arping opera a nivel de capa 2, ya que utiliza el protocolo ARP para verificar si los equipos están disponibles o no.

Esto ultimo es muy importante de saberlo para comprender el uso de esta herramienta de red, ya que arping funciona solamente dentro de la red local (el segmento de red al que pertenece un equipo) Es decir si existen dos redes separadas por un enrutador(dispositivo de capa 3) no podría alcanzar a otro equipo que se encuentre fuera de la subred a la que pertenece, según la imagen siguiente, la pc con dir ip 192.168.10.10 al realizar un arping a la dirección 192.168.20.10, obtendría como resultado la dirección mac de la interface del router conectado a su subred.

Dos subredes, definidas por el enrutador

Instalación de Servidor Cacti (cacti servidor Linux)

Cacti es una herramienta open source que permite a un administrador de red conocer el estado de los enlaces, disponibilidad de los dispositivos de la red, así como también permite conocer cuanto ancho de banda se esta utilizando en la red. Este conocimiento es importante porque permite planificar, contabilizar y gestionar de una manera eficiente los recursos de una red LAN

 

Requerimientos:

distribución : Kubuntu 9.04

software : cacti (hobbit-4.2.0.tar.gz) , apache2 (apache2.2.9)

servidor : netadmin (IP-Addr:192.168.1.5)

Dependencias del Servidor Cacti

Cacti requiere que los siguientes paquetes están instalados en el sistema.

• RRDTool 1.0.49 or 1.2.x or greater

• MySQL 4.1.x or 5.x or greater

• PHP 4.3.6 or greater, 5.x es recomendable las versiones recientes

• Web Server, Apache2 para este manual.