Vagner Alves dos Santos Alexandre Lemke Vagner Alves dos Santos Alexandre Lemke

Vagner Alves dos Santos Alexandre Lemke Topicos Início –IDS (Intrusion Detection System) –O que é Snort? Usando Snort Arquitetura Snort

Vagner Alves dos Santos Alexandre Lemke Intrusion Detection System (IDS) Definição: –Ferramenta inteligente e capaz de detectar tentativas de invasão em tempo real –Sistema de configurações e regras que tem como objetivo gerar alertas quando detectar pacotes que possam fazer parte de um possível ataque. Detecção de Intrusão NÃO é o mesmo que Prevenção de Intrusão!

Vagner Alves dos Santos Alexandre Lemke Introdução ao Snort O que é o Snort? –Sistema de detecção de invasão baseado em rede Sniffer (farejador) Packet Logger (registro de pacotes) Alertas em tempo real Network Intrusion Detection System (NIDS) –IDS baseado em assinaturas que usa regras para verificar indícios de ocorrências de ataque

Vagner Alves dos Santos Alexandre Lemke Snort “Parâmetros” Pequeno (~800k download) Multiplataforma (Linux, Windows, MacOS X, Solaris, BSD, IRIX, Tru64, HP-UX, etc) Rápido (Alta probabilidade de detecção em redes) Configurável (Linguagem com regras fáceis, muitas opções de relatórios/logs) Free (GPL/Open Source Software)

Vagner Alves dos Santos Alexandre Lemke Características Snort Farejador de Pacotes (Packet sniffing) NIDS (network intrusion detection system) “lightweight” Mecanismo de Detecção baseado em Regras (assinaturas) Sistema de Plug-ins permite grande flexibilidade.

Vagner Alves dos Santos Alexandre Lemke Mecanismo de Detecção Monitora o tráfego de pacotes em redes IP em tempo real sobre diversos protocolos (nível de rede e aplicação) e sobre o conteúdo (hexa e ASCII) Regras em forma de “Assinaturas” Sistema de regras bastante flexível, e a criação de novas regras é relativamente simples

Vagner Alves dos Santos Alexandre Lemke Arquitetura Snort Farejador de Pacotes –Dispositivos de hardware ou de software usados para fazer escuta nas redes, capturando todos os dados que trafegam pela rede. Pré-processadores –Responsáveis pela classificação dos dados capturados pelo farejador, antes do envio para a detecção.

Vagner Alves dos Santos Alexandre Lemke Arquitetura Snort Detecção –Recebe os dados encaminhados pelo pré- processamento, e compara com um conjunto de regras de assinaturas de ataques conhecidos. Componente de Alerta/Registro –Quando os dados que passam pelo mecanismo de detecção correspondem com alguma regra, um alerta é disparado pelo plugin de saída.

Vagner Alves dos Santos Alexandre Lemke Referências CASWELL, Brian et al. Snort 2: Sistema de detecção de intrusão. Rio de Janeiro: Alta Books, 2003