IDS/IPS Fundamentals | Gestión de la Seguridad Informática | Wild IT Academy

Wild IT Academy

11 Aug 202115:22

Summary

TLDREl script de este video ofrece una visión detallada sobre la gestión de la seguridad y cómo implementar tecnologías avanzadas para la detección y prevención de intrusos en redes. Se discute la complejidad de los sistemas de detección de intrusos (IDS) y de prevención de intrusos (IPS), y se destaca la importancia de elegir la herramienta correcta dependiendo de las necesidades y recursos disponibles. Se presenta Snort, una herramienta de código abierto reconocida en la industria, y se explica cómo configurar y utilizarla para monitorear y proteger una red. Además, se menciona el uso de reglas personalizadas y la importancia de la monitorización continua para ajustar y mejorar la seguridad. El video también resalta la necesidad de tener en cuenta las capacidades de detección y bloqueo de ataques, la facilidad de configuración y las capacidades de monitoreo al seleccionar una herramienta de seguridad. Finalmente, se anima a los espectadores a explorar y aprender sobre estas tecnologías, y a tomar decisiones informadas sobre qué tipo de sistema de seguridad implementar en su organización.

Takeaways

🔒 La detección y prevención de intrusos es una tecnología avanzada que analiza el tráfico de red y bloquea ataques automáticamente.
⚙️ Estos sistemas son complejos y pueden llevar tiempo configurar, pero ofrecen un alto nivel de seguridad al trabajar de manera automatizada y proactiva.
🤔 La decisión de instalar soluciones de detección y prevención de intrusos depende de la complejidad de la red, los recursos disponibles y las necesidades de tráfico.
🌐 La herramienta recomendada en la sesión es Snort, un software de código abierto conocido por sus capacidades de detección en la red.
🚫 Sistemas de detección de intrusos (IDS) solo detectan ataques, mientras que los sistemas de prevención de intrusos (IPS) también pueden bloquearlos.
📝 IPS son más complejos que IDS y requieren mayor atención durante la configuración para evitar bloquear tráfico legítimo.
🕒 Muchos IPS ofrecen una opción de funcionar temporalmente como IDS para permitir la visualización y configuración correcta antes de habilitar el bloqueo.
📈 Para la selección de IDS/IPS, se deben considerar las capacidades de detección y bloqueo de ataques, la facilidad de configuración y las capacidades de monitoreo.
🔍 IDS pueden basarse en hosts, instalados en servidores para analizar tráfico y detectar ataques, o en redes, para analizar todo el tráfico de la red.
📈 Es importante determinar si se necesita un sistema de IDS/IPS y si se cuenta con los recursos humanos necesarios para administrarlo.
💡 Se recomienda empezar con soluciones simples y avanzar a soluciones más complejas si es necesario.
📚 Antes de la implementación, es recomendable realizar pruebas con proyectos de código abierto, como Snort, para evaluar si se ajustan a las necesidades de la organización.

Q & A

¿Qué es la detección y prevención de intrusos y cómo ayuda a proteger las redes?
-La detección y prevención de intrusos es una tecnología avanzada que permite trabajar de forma inteligente analizando el tráfico de red y bloqueando los ataques automáticamente. Estos sistemas son complejos y pueden llevar tiempo configurar, pero son capaces de proporcionar un excelente nivel de seguridad al trabajar de forma automatizada y proactiva.
¿Por qué los sistemas de prevención de intrusos (IPS) son más complejos que los sistemas de detección de intrusos (IDS)?
-Los IPS son más complejos que los IDS porque, además de detectar los ataques, también pueden tomar acciones para bloquearlos. Esto requiere una mayor atención a la hora de configurarlos, ya que es posible que bloqueen tráfico legítimo y afecten negativamente la operatividad de la empresa.
¿Qué es NORTE y cómo se relaciona con la seguridad informática?
-NORTE es una herramienta de código abierto muy reconocida en el ámbito de la seguridad informática. Posee varias años de desarrollo y cuenta con excelentes capacidades de detección en la imagen. Se utiliza para interpretar las alertas que emite y es una herramienta recomendada para la sesión, aunque su uso y configuración pueden requerir conocimientos técnicos específicos.
¿Cómo se pueden implementar temporalmente los IPS para evaluar su funcionamiento sin bloquear tráfico?
-Muchos IPS permiten trabajar temporalmente como IDS, es decir, solo notificando los ataques detectados sin bloquearlos. Esto proporciona la oportunidad de visualizar cómo funciona la solución y configurarla correctamente antes de habilitar sus capacidades de bloqueo.
¿Qué son los 'hybridos' en el contexto de la seguridad informática y cómo funcionan?
-Los 'híbridos' en el contexto de la seguridad informática son sistemas que combinan capacidades de detección e intrusos con capacidades de prevención. Estos sistemas, como Prelude, analizan varias fuentes de información al mismo tiempo y las relacionan para una mejor detección de amenazas.
¿Qué consideraciones son importantes antes de implementar un sistema de detección y prevención de intrusos?
-Antes de implementar un sistema de este tipo, es importante determinar si realmente lo necesitamos y si contaremos con los recursos humanos necesarios para administrarlo. También se debe considerar el costo, que suele ser elevado, y realizar una primera aproximación a través de algún proyecto de código abierto.
¿Cómo se puede determinar si un sistema de detección y prevención de intrusos es adecuado para una organización?
-Para determinar si un sistema es adecuado, se debe tener en cuenta las características y la complejidad de cada producto, las necesidades de la organización y si es posible contar con los recursos necesarios para su administración y mantenimiento.
¿Por qué se recomienda empezar con una herramienta sencilla para la gestión de la seguridad de la información?
-Se recomienda empezar con una herramienta sencilla para que las organizaciones puedan cumplir sus expectativas y luego, si es necesario, pasar a herramientas más complejas. Esto ayuda a evitar una sobrecarga inicial y a que los equipos de TI se sientan más seguros y experimentados en el manejo de estas soluciones.
¿Qué es SNORT y cómo se relaciona con la implementación de sistemas de detección y prevención de intrusos?
-SNORT es un sistema de detección de intrusos de código abierto que se puede utilizar para analizar y prevenir ataques en una red. En el script, se menciona la implementación de SNORT como un ejemplo práctico de cómo se puede instalar y configurar una herramienta de detección y prevención de intrusos en un sistema Unix.
¿Cómo se pueden personalizar las reglas en SNORT para detectar tráfico específico?
-En el script, se describe cómo agregar una regla personalizada para detectar tráfico SSH hacia una red interna en el puerto 22. Esto se logra editando el archivo de configuración de reglas de SNORT y creando un archivo de reglas personalizado que contiene la alerta específica.
¿Cómo se pueden revisar los registros generados por SNORT para evaluar su funcionamiento y detectar posibles amenazas?
-Los registros generados por SNORT se guardan en una carpeta específica llamada 'logs'. Para revisarlos, se puede utilizar el comando 'less' o 'nano' para abrir y examinar los archivos de registro, como 'north.alert', que contienen las alertas generadas por las reglas configuradas.
¿Qué complementos adicionales se pueden utilizar con SNORT para facilitar la administración y la detección de amenazas?
-El script menciona el uso de un complemento llamado 'grep' para filtrar únicamente las alertas configuradas por el usuario. Esto ayuda a identificar rápidamente las amenazas relevantes entre el gran volumen de tráfico detectado por SNORT.

Outlines

00:00

😀 Introducción a la gestión de la seguridad y prevención de intrusos

El primer párrafo introduce el tema de la gestión de la seguridad y la importancia de la detección y prevención de intrusos en las redes. Se menciona que se abordará desde la perspectiva de un directivo de seguridad y se destaca la relevancia de entender los fundamentos antes de implementar tecnologías avanzadas. Además, se habla sobre la complejidad y el tiempo que puede llevar configurar estos sistemas, y cómo dependerán de la red, los recursos disponibles y las necesidades del tráfico. Se recomienda la herramienta 'Snort' como una opción de código abierto para empezar a trabajar con la detección de intrusos.

05:01

🔍 Selección y configuración de un sistema de detección de intrusos (IDS)

Este párrafo se enfoca en la selección y configuración de un sistema de detección de intrusos. Se destaca la importancia de considerar las características y la complejidad de cada sistema antes de decidir si es adecuado para las necesidades de la organización. Se menciona que los sistemas de prevención de intrusos (IPS) son más complejos que los IDS y requieren más atención en la configuración para evitar impactos negativos en la operatividad de la empresa. Se sugiere que los IPS pueden funcionar temporalmente como IDS para permitir una evaluación de cómo funciona la solución antes de habilitar sus capacidades de bloqueo. Además, se aborda la implementación de 'Snort' (SNBS), un proyecto de código abierto, como una primera aproximación antes de considerar opciones comerciales.

10:03

🛠️ Proceso de instalación y configuración de Snort

El tercer párrafo detalla el proceso de instalación y configuración de Snort en un sistema Unix como Kali Linux. Se describen los pasos para ejecutar el terminal, instalar el paquete de Snort, ingresar al archivo de configuración y modificar variables específicas para adaptar la red interna y externa. Se agrega una regla personalizada y se indica cómo crear y editar el archivo de reglas para incluir esta regla. Además, se menciona la creación de un directorio para los logs y cómo iniciar Snort con los argumentos correspondientes para la asignación de logs y reglas.

15:05

📈 Revisión de logs y evaluación de Snort

Este párrafo se centra en la revisión de los logs generados por Snort después de su ejecución. Se describe cómo se pueden generar alertas y cómo se pueden revisar los logs correspondientes a estas alertas. Se menciona el uso de una herramienta para generar tráfico SSH hacia el dispositivo para que Snort pueda detectarlo. Se destaca la importancia de la revisión de los logs para entender cómo funciona Snort y cómo se pueden configurar las alertas. Además, se sugiere el uso de un complemento para filtrar las alertas específicas configuradas por el usuario y se concluye con una invitación a los espectadores a dejar sus preguntas y comentarios.

👋 Despedida y expectativa para la próxima sesión

El último párrafo es una despedida del video, en el que se espera que la audiencia haya tenido un buen día y se les anima a esperar la próxima sesión. Se cierra el video con música y se mantiene una expectativa positiva para futuras sesiones de aprendizaje.

Mindmap

Keywords

💡Prevención de intrusos

La prevención de intrusos se refiere a las medidas y tecnologías que se implementan para evitar que individuos no autorizados accedan a una red o sistema. En el video, se discute cómo la detección y prevención de intrusos (DPI) es una tecnología avanzada que analiza el tráfico de red y bloquea ataques de forma automática, siendo crucial para la seguridad de las redes.

💡Detección y prevención de intrusos (DPI)

La DPI es un sistema que incluye herramientas para detectar y prevenir actividades maliciosas en una red. En el contexto del video, se destaca que estos sistemas son complejos y requieren configuración, pero ofrecen un alto nivel de seguridad al funcionar de manera automatizada y proactiva.

💡Sistemas de detección de intrusos (IDS)

Los sistemas de detección de intrusos son dispositivos de seguridad que monitorean la actividad de red o de host para detectar signos de ataques o comportamientos anómalos. En el video, se menciona que los IDS solo detectan ataques y no toman acciones para bloquearlos, lo que los distingue de los sistemas de prevención de intrusos (IPS).

💡Sistemas de prevención de intrusos (IPS)

Los sistemas de prevención de intrusos son una evolución de los IDS y están diseñados no solo para detectar sino también para prevenir ataques. En el video, se discute que los IPS son más complejos que los IDS y requieren una mayor atención durante la configuración para evitar el bloqueo de tráfico legítimo.

💡Herramienta SNORT

SNORT es una herramienta de detección de intrusos de código abierto ampliamente utilizada en la seguridad informática. En el video, se utiliza SNORT como ejemplo de una herramienta que se puede implementar para mejorar la seguridad de una red, destacando su capacidad para detectar y prevenir ataques.

💡Configuración de red

La configuración de red implica la definición de cómo los dispositivos de una red se comunican entre sí y con otros dispositivos externos. En el video, se aborda la importancia de configurar correctamente la red para que los sistemas de detección y prevención de intrusos funcionen eficazmente, como se muestra al agregar la red interna y externa en la configuración de SNORT.

💡Reglas de SNORT

Las reglas de SNORT son instrucciones específicas que definen qué tipos de tráfico de red deben detectarse y actuar. En el video, se muestra cómo se crean y editan las reglas personalizadas en SNORT para detectar tráfico SSH hacia una red interna, lo que es esencial para la detección de posibles intrusiones.

💡Logs de seguridad

Los logs de seguridad son registros detallados de las actividades que ocurren en un sistema o red. Son fundamentales para la auditoría y la detección de intrusiones. En el video, se menciona la creación de un directorio de logs donde SNORT almacena sus alertas y registros de tráfico, permitiendo así la revisión y análisis posteriores.

💡SSH (Secure Shell)

SSH es un protocolo de red que proporciona servicios de red de capa de aplicación sobre diferentes protocolos de red para aplicaciones y proveedores de servicios de red. En el video, se utiliza como ejemplo de tráfico que se debe monitorear y detectar, ya que es un método común utilizado por los atacantes para obtener acceso no autorizado a sistemas.

💡Análisis de tráfico de red

El análisis de tráfico de red es el proceso de examinar los datos que viajan a través de una red con el fin de identificar patrones, problemas de rendimiento o actividades maliciosas. En el video, se destaca la importancia del análisis de tráfico para los sistemas de detección y prevención de intrusos, ya que es a través de este análisis que se identifican los posibles ataques.

💡Proyecto de código abierto

Un proyecto de código abierto es aquel en el que el código fuente del software es libre para ser utilizado, modificado y distribuido. En el video, se sugiere realizar una prueba con un proyecto de código abierto, como SNORT, antes de decidir si se necesita un sistema de detección y prevención de intrusos más complejo o una solución comercial.

Highlights

Continuación del curso de gestión de la seguridad con un tema de interés sobre la perspectiva que debe tener un directivo de seguridad respecto a los CDC.

Introducción a la detección y prevención de intrusos como tecnología avanzada para proteger redes, analizando tráfico y bloqueando ataques automáticamente.

Importancia de la configuración de sistemas de detección y prevención de intrusos, que puede requerir tiempo y recursos.

Elección de implementar soluciones de seguridad depende de la complejidad de la red, recursos disponibles y necesidades de tráfico.

Recomendación de la herramienta open-source Norte, conocida por sus capacidades de detección en la imagen.

Diferenciación entre sistemas de detección de intrusos (SIDS) y sistemas de prevención de intrusos (IPS), con IPS siendo más complejos.

Mencion de que muchos IPS permiten un modo temporal de funcionamiento para visualizar y configurar correctamente la solución antes de habilitar el bloqueo.

Existencia de sistemas híbridos como Prelude que combinan capacidades de detección e inteligencia para una mejor detección de amenazas.

Consideración de la necesidad y disponibilidad de recursos humanos para administrar un sistema de detección y prevención de intrusos antes de su implementación.

Importancia de la selección de un producto en base a sus características y complejidad para satisfacer las necesidades específicas.

Recomendación de realizar una prueba con un proyecto de código abierto, como Snort, antes de decidir si se necesita un sistema comercial.

Ejemplo práctico de cómo instalar y configurar Snort en un sistema Unix como Kali Linux.

Proceso para agregar una regla personalizada en Snort para detectar tráfico SSH hacia una red interna en el puerto 22.

Creación de un directorio para logs y alertas generados por Snort para su monitoreo y análisis.

Demostración de la generación de tráfico SSH y cómo Snort detecta y registra esta actividad en archivos de log.

Uso del complemento grep para filtrar y encontrar alertas específicas en los archivos de log generados por Snort.

Importancia de estudiar a fondo la herramienta Snort debido a sus múltiples complementos, argumentos y posibilidades.

Recomendación de comenzar con herramientas simples y avanzar a más complejas según las expectativas y necesidades de la empresa.