NSM Network Security Monitoring Herramientas Software Libre de detección y prevención

NSM Network Security Monitoring
Herramientas Software Libre de detección y prevención.
Alejandro Valdés Jimenez
avaldes@utalca.cl
DSL 2010
September 21, 2010
Alejandro Valdés Jimenez (UTalca) NSM Network Security Monitoring Herramientas Software Libre de detección y prevención.September 21, 2010 1 / 18

Agenda
1 NSM Monitorizaci´on de Seguridad de Redes
2 Principios de seguridad
3 Ejemplo de red
4 Herramientas
5 Recursos

NSM Monitorización de Seguridad de Redes
NSM Monitorización de Seguridad de Redes
Es un modelo de operaciones de seguridad que hace uso de
herramientas y técnicas para la recolección, análisis y
notificación de indicaciones y advertencias, de manera de poder
detectar intrusiones y poder responder a ellas.
Los indicadores corresponden a las alertas generadas por el software de
detección.
Las advertencias son los resultados de la interpretación de los
indicadores (alertas).

Principios de seguridad
Las fases de un compromiso

Si deseamos detectar intrusiones, debemos comprender las acciones
necesarias para comprometer un blanco.
Reconocimiento
validar conectividad, enumerar servicios y buscar aplicaciones
vulnerables.
escaneo de puertos.
reconocimiento de sistemas operativos, versiones de softwares, etc.
Explotación
abusar de los servicios de un blanco y/o dañarlos.
implica hacer uso uso ileg´ıtimo de un modo leg´ıtimo.
explotación es a través de protocolos correctos (telnet, ssh, ftp, http,
etc).

Refuerzo
aprovecha acceso inicial con objeto de ganar capacidades adicionales.
algunas explotaciones producen inmediatamente privilegios de root,
mientras otros solo a nivel de usuario.
intrusos recuperan e instalan herramientas empleando quizá FTP,
TFTP, SCP, etc.
instalación de puertas traseras (back doors) para comunicarse con el
mundo exterior.
Consolidación
intruso se comunica con el blanco a través de la puerta trasera.
la puerta trasera puede adoptar la forma de un servicio a la escucha.
la puerta trasera se puede conectar a la IP del intruso.
en esta fase, el intruso tiene control completo del blanco.

Pillaje
es la ejecución del plan final del intruso, podr´ıa implicar:
robo de información privada.
contruir una base para realizar ataques mas profundos dentro de la
organización.
o cualquir otra cosa que desee el intruso.

Defensores tienen la oportunidad para detectar a los intrusos que se
comunican con los blancos durante las 5 fases anteriores.
Es probable que el intruso proporcione alg´un tipo de evidencia basada
en la red que merecer´a la pena investigar.
En esta tarea, se utilizan una serie de herramientas para soportar el
modelo de NSM.

Ejemplo de red
Ejemplo de red

Ejemplo de red
Ejemplo de red con Sensores

Herramientas
Libpcap
pcap API para captura de paquetes
libpcap Implementaci´on de pcap para sistemas basados en Unix.
wincap Implementaci´on de pcap para sistemas Windows.
Programas utilizan esta libreria para la captura de paquetes.

Herramientas
Tcpdump
Utiliadad para captura y an´alisis de paquetes.
tcpdump -n -i <interfaz> -w <archivo>
-n: no resuelva direcciones IP ni puertos.
-i interfaz: interfaz a escuchar, por ejemplo eth0
-w archivo: almacernar datos capturados en el archivo.
-r archivo: lee paquetes capturados desde el archivo.
man tcpdump

Herramientas
Tcpdump y ﬁltros de paquetes de Berkeley BPF
BPF son expresiones para manipular paquetes que se
capturan/visualizan con tcpdump.
Permite uso mas eﬁciente, por ejemplo:
icmp, udp, tcp
{src,dst} host, net
{src,dst} port
arp
Ejemplos:
tcpdump -n -r em0.lpc -c 2 tcp
tcpdump -n -r sf1.lpc -c 2 tcp and dst port 22
tcpdump -n -r sf1.lpc -c 2 host 172.27.20.3
tcpdump -n -r sf1.lpc -c 2 src host 172.27.20.4
tcpdump -n -r em0.lpc -c 2 src net 10.10.10.0/24
tcpdump -n -r sf1.lpc -c 2 ’icmp[icmptype] = icmp-echo’

Herramientas
Wireshark
Utilidad gráfica para la captura y análisis de paquetes.
Una de las mejores herramientas de software libre para el tratamiento
de redes.
Se pueden aplicar filtros tcp.dstport == 21.
Se pueden reconstruir flujos de sesiones Follow TCP Stream.
Estad´ısticas (por ejemplo jerarqu´ıa de protocolos).
wireshark -n -r em0.lpc

Herramientas
Snort
Famoso por ser un sistema de detección de intrusiones basado en red
pero tambien se puede utilizar para captura y análisis de paquetes.
Usa reglas para realizar búsquedas en los paquetes y asi generar
alertas (/etc/nsm/sensor1/rules/local.rules).
alert tcp any any ->any any (msg:”Solo esta activado SYN”;
flags: S; sid: 10001;)
Buscamos en paquetes ya capturados:
snort -c /etc/nsm/snort/sensor1/snort.conf -b -l . -r sf1.lpc

Herramientas
Sguil
Las herramientas antes mencionadas trabajan de modo independiente,
no hay comunicación entre ellas.
La filosof´ıa de UNIX se basa en la idea de herramientas que cooperen
entre si.
Sguil se basa en tal filosof´ıa, por tanto, Sguil es un conjunto de
programas de software libre para realizar NSM.
Es una aplicación multiplataforma diseñada ”por y para analistas” con
el objeto de integrar flujos correspondientes de alertas, datos de
sesiones, datos de contenido completo en una sola interfaz gráfica.
NSMnow Project. Framework con herramientas para implementar
NSM.

Herramientas
Sguil

Recursos
Recursos
Bibliograﬁa
The Tao of Network Security Monitoring: Beyond Intrusion Detection,
Richard Bejtlich. http://www.taosecurity.com/books.html
Enlaces
libpcap y tcpdum: http://www.tcpdump.org/
wireshar: http://www.wireshark.org/
snort: http://www.snort.org/
snortid: http://www.snortid.com/
sguil: http://sguil.sourceforge.net/
BPF: http://en.wikipedia.org/wiki/Berkeley Packet Filter
NSMnow Project: http://www.securixlive.com/nsmnow/index.php

NSM Network Security Monitoring Herramientas Software Libre de detección y prevención

Más contenido relacionado

La actualidad más candente

Destacado

Similar a NSM Network Security Monitoring Herramientas Software Libre de detección y prevención

Más de Alejandro Valdes Jimenez

NSM Network Security Monitoring Herramientas Software Libre de detección y prevención