Inicio > Hacking, Services - Software > Conceptos Básicos y Configuración de Snort – Parte II

Conceptos Básicos y Configuración de Snort – Parte II

Continuando con los conceptos básicos y configuración de Snort iniciados en la entrada anterior, se continua indicando las opciones de configuración y características mas interesantes de Snort.

Lectura de Ficheros de Paquetes (PCAP)

Con Snort es posible leer los registros de Log y paquetes generados de una ejecución anterior en lugar de ejecutar Snort utilizando una interfaz de red, de esta forma es posible analizar los paquetes como si estos vinieran directamente de la red. Para este fin existen una serie de opciones que pueden ser utilizadas como argumentos en linea de comandos:

-r: Lectura de un fichero simple.

>snort -A console -c /etc/snort/snort.conf -r /home/adastra/logs/snort.log.1308252021

pcap-single: Lectura de un fichero simple, funciona igual que la opción -r

snort -A console -c /etc/snort/snort.conf pcap-single=”/home/adastra/logs/snort.log.1308252021″

pcap-list: Lectura de una lista de PCAP indicados por parámetro.

snort -A console -c /etc/snort/snort.conf pcap-list=”/home/adastra/logs/snort.log.1308252021″

pcap-dir: Lectura recursiva de todos los ficheros de captura contenidos en el directorio especificado

snort -A console -c /etc/snort/snort.conf pcap-dir=”/home/adastra/logs/”

pcap-filter : Permite especificar un filtro para la lectura de los ficheros PCAP, frecuentemente se acompaña con la opción –pcap-dir o –pcap-list

snort -A console -c /etc/snort/snort.conf pcap-dir=”/home/adastra/logs/” pcap-filter=”*.pcap”

Existen otras opciones que se pueden combinar con las que se han descrito anteriormente, a continuación se listan algunas de las mas interesantes.

-D: Permite a Snort ejecutarse como un proceso en segundo plano, o Demonio.

>snort -A console -c /etc/snort/snort.conf -D
Spawning daemon child…My daemon child 2697 lives…Daemon parent exiting

create-pidfile: Se encarga de crear un fichero PID asociado a la ejecución de Snort, inclusive aunque este no se ejecute en segundo plano.

>snort -A console -c /etc/snort/snort.conf create-pidfile

pid-path: Permite declarar el directorio donde se debe crear el fichero PID de Snort.

>snort -A console -c /etc/snort/snort.conf pid-path /home/adastra/pids

Modos de Snort como IPS o IDS

Dependiendo de la configuración empleada en Snort, este puede ejecutarse como IPS y/o como IDS, se trata de establecer el modo de ejecución, algo que es realmente sencillo, sin embargo los resultados y el comportamiento de Snort dependiendo del modo de ejecución varia de forma drástica.

Inline

Este modo de ejecución va a permitir a Snort ejecutarse como un IPS, para conseguir esto se debe utilizar la opción “-Q” desde linea de comandos y la opción de configuración “config policy_mode:inline”

>snort -A console -c /etc/snort/snort.conf -Q daq dump

Passive

Con este modo, Snort funcionará como un IDS, para establecer este modo simplemente basta con definir la opción de configuración “config policy_mode:tap

Inline-Test

Con este modo Snort se ejecutar en modo Inline pero sin afectar el trafico, es decir, sin borrar paquetes, en lugar de esto genera una alerta Wdrop (Would Drop). Para conseguir esto se utiliza la opción enable-inline-test y definir la opción de configuración correspondiente a “config policy_mode:inline_test”

>snort -Q daq dump -A console -l /home/jdaanial/ enable-inline-test
  1. Aún no hay comentarios.
  1. No trackbacks yet.

Responder

Introduce tus datos o haz clic en un icono para iniciar sesión:

Logo de WordPress.com

Estás comentando usando tu cuenta de WordPress.com. Cerrar sesión / Cambiar )

Imagen de Twitter

Estás comentando usando tu cuenta de Twitter. Cerrar sesión / Cambiar )

Foto de Facebook

Estás comentando usando tu cuenta de Facebook. Cerrar sesión / Cambiar )

Google+ photo

Estás comentando usando tu cuenta de Google+. Cerrar sesión / Cambiar )

Conectando a %s

A %d blogueros les gusta esto: