Como implementar un EasyIDS en la Red

Como dije anteriormente EasyIDS es un excelente conjunto de herramientas de Linux, basada en CentOS, que permite configurar de manera rápida un sistema de detección de Intrusos potente, mediante el uso de la herramienta Snort al igual que otra herramienta de red tan potente y sencilla como es  Ntop.

Sin embargo no explique la manera en que EasyIDS obtenía los datos de la red, hoy explicare brevemente la manera en que realice la conexiones para echar a andar mi pequeño IDS, cabe mencionar que actualmente esta funcionando y recibiendo trafico de al menos unas 500 Computadoras.

Configuración de un spam port en Switch Cisco

Herramienta de Monitoreo de Red “EasyIDS”

EasyIDS es una excelente distribución de Linux, basada en CentOS, que permite configurar de manera rápida un sistema de detección de Intrusos potente, mediante el uso de la herramienta Snort al igual que otra herramienta de red tan potente y sencilla como es Ntop

EasyIDS también posee herramienta como arpwatch, al igual que permite al administrador utilizar herramientas como traceroute o nmap que podrían generar al administrador del sistema información adicional.

El primer paso consiste en descargar y grabar la imagen iso en un CD, lo ideal y recomendable seria descargar la imagen desde el sitio oficial: http://www.skynet-solutions.net/About-EasyIDS

Una vez que se cuenta con la imagen se procede al proceso de instalación, en este caso se requiere una equipo con las siguientes características:

Modificar access-list Switch Dell PowerConnect 5324

PowerConnect 5324 

Al querer modificar una lista de control de acceso en un Switch marca Dell PowerConnect 5324, con versión de software 1.0.0.45,  me encontré con un pequeño problema, al querer cambiar la dirección IP del servidor que realiza la colecta de snmp. Es decir quería cambiar la dirección IP del servidor 192.168.120.200 por el nuevo servidor donde corre Cacti 192.168.120.78. Ver mas sobre Cacti>>

Para lo cual di los siguientes comandos, donde ACESO-only es el nombre de la access list que estaba corriendo.

switch1#
switch1# configure
switch1(config)# management access-list ACESO-only

Herramienta de monitoreo de Red "arping"

arping es una herramienta de monitoreo de red, que se utiliza para detectar si un equipo esta activo o bien si existe problemas con direcciones ip duplicadas. Esta herramienta funciona de manera similar al ping, sin embargo ping utiliza el protocolo icmp el cual es enrutable y funciona para hacer pruebas a nivel de capa 3 del modelo OSI, por el contrario arping opera a nivel de capa 2, ya que utiliza el protocolo ARP para verificar si los equipos están disponibles o no.

Esto ultimo es muy importante de saberlo para comprender el uso de esta herramienta de red, ya que arping funciona solamente dentro de la red local (el segmento de red al que pertenece un equipo) Es decir si existen dos redes separadas por un enrutador(dispositivo de capa 3) no podría alcanzar a otro equipo que se encuentre fuera de la subred a la que pertenece, según la imagen siguiente, la pc con dir ip 192.168.10.10 al realizar un arping a la dirección 192.168.20.10, obtendría como resultado la dirección mac de la interface del router conectado a su subred.

Dos subredes, definidas por el enrutador

Configuracion de Iptables (Firewall en Linux)

Que es un firewall

Lo primero que hay que tener en cuenta a la hora de configurar un firewall, es si verdaderamente es necesario, muchas personas, en la actualidad se conectan a Internet, de una u otra manera, desde las empresas, sus hogares o desde algún cybercafe, sin embargo, pocas de estas personas entienden realmente las consecuencias que tiene el abrir sus sistemas informáticos a Internet.

Un firewall es, por lo general, un software o hardware, a través del cual nos conectamos a una red como Internet, y que sirve como filtro sobre el tráfico que por él pasa, en ambas direcciones, y que en un momento dado puede rechazar cierto tráfico en alguna de las direcciones.

Configuracion de un servidor de Tiempo NTP

El protocolo NTP o Network Time Protocol, es un protocolo de Internet que se utiliza para sincronizar los relojes de los equipos de redes, importante a la hora de realizar análisis de seguridad, por la importancia de la sincronización de los relojes.

El protocolo NTP, utiliza UDP, como transporte, usando el puerto 123. NTP, utiliza un sistema de jerarquía de estratos de reloj, el cual inicia con el stratum 1, estos son los equipos de primer nivel y son sincronizados por lo general con relojes externos, como GPS o algún reloj atómico. Los equipos stratum 2, son equipos que toman o sincronizan su tiempo de uno o mas sistemas stratum 1, y así sucesivamente.