IDS Snort deteccion de intrusos (windows)

[@karlmarxis4930]

al fin veo a salvadoreños haciendo vídeos de seguridad informática, soy salvadoreño saludos desde argentina. Vamos el salvador.

[@josuevelasco2505]

karl Marxis un saludo, la seguridad informática es un tema de mayor demanda respecto a tecnologías de información, no la podemos ver de reojo debemos ver mas allá de lo que implementamos. ¡Gracias por el apoyo!

[@LeoocastStudios]

Acabo de pasar una hora resolviendo porque no me mostraba las interfaces cuando ponía "snort -W" y fue porque pasé de largo la instalación de WinCap, una vez instalado éste, se solucionó el problema. Saludos.

[@josuevelasco2505]

Es requisito, gracias por la observación.

[@sharus009]

En el minuto 28:11 mas o menos donde sale el mensaje de la alerta? no sale, como hago para que me salgan las alertas de local.rules?

[@Eackard]

si el intruso solo se limita a ver lo que uno hace se puede detectar con snort y botarlo?

[@listademusica1827]

a mi me aparece un error como a ti en el min 24:31 pero es diferente a tu error a mi me pone "ERROR: c:\snort\etc\snort.conf(326) => Invalid keyword '}' for server configuration." que hago?

[@josuevelasco2505]

Hola, un saludo. Pues fíjate que ese error no me sucedió, mas me documenté al respecto y debes revisar la línea 325 la cual debe estar comentada. Ejecuta el comando nuevamente y me comentas. Gracias por escribir.

[@rayhernandez7111]

@@josuevelasco2505 Funciona, gracias

[@Guzzzth]

no aparece mi red luego de seguir los pasos y aplicar el comandos snort -W (seguí todo al pie de la letra)

[@josuevelasco2505]

Checa el archivo snort.conf si se ha modificado el dns al principio del archivo para solucionar el error.

[@cheyercorpusgiraldo1453]

SOLUCION : Detection: Search-Method = AC-Full-Q Split Any/Any group = enabled Search-Method-Optimizations = enabled Maximum pattern length = 20 ERROR: c:\Snort\etc\snort.conf(246) Missing/incorrect dynamic engine lib specifier. Fatal Error, Quitting.. Could not create the registry key. help

[@cheyercorpusgiraldo1453]

# path to dynamic preprocessor libraries dynamicpreprocessor directory c:\Snort\lib\snort_dynamicpreprocessor # path to base preprocessor engine dynamicengine c:\Snort\lib\snort_dynamicengine/sf_engine.dll # path to dynamic rules libraries #dynamicdetection directory /usr/local/lib/snort_dynamicrules SOLUCION YA LO RESOLVI

[@rckrs-jf8lb]

excelente contribución.

[@josuevelasco2505]

¡Muchas gracias, saludos!

[@Eackard]

Hola, disculpe mi ignorancia amigo, pero snort solo detecta en caso de que el intruso haga operaciones como copiar, borrar, modificar etc, es lo que me quedo entendido, que pasaria si el intruso solo se limita a observar lo que uno hace con un RAT troyano o RPD? Saludos!

[@brianavalos4705]

instalo el zenmap y me deja de salir valores en el index cuando hago Snort -W

[@josuevelasco2505]

El comando Snort -W es para detectar las redes activas para realizar la prueba, si no te aparece alguna verifica la conexión de tu red. Por cierto, se instaló correctamente WinpCap?

[@brianavalos4705]

​@@josuevelasco2505 ya lo pude solucionar , reinstale el wincpcap ,slds!!

[@Mr.Armin1]

Buen aporte. 10/10. Sabe alguien si con Snort se puede hacer una pista de auditoria? Me refiero si se puede monitorear varios sistemas a la vez con Snort y que éste muestre cuantas veces ha ingresado un usuario a un servidor, BD o aplicativo

[@josuevelasco2505]

Siempre y cuando estos servidores o clientes estén bajo la misma red declarada al principio de la configuración de snort (snort.conf). Saludos.

[@charlesrada763]

Amigo, tengo un problema con el comando: c:\Snort\bin>snort -i 2 -c c:\snort.conf -T , ya que me arroja (ERROR Invalid device number: 2. Fatal Error, Quitting), para aclarar un poco màs mi OS es windows 10 pro 64 bits, por favor si me puedes dar luz para resolverlo. gracias de antemano

[@danielmamanifernandez2025]

Como puedo instalar el word pad en ese formato oscuro con el simbolo S

[@jonathandiaz5936]

Ese no es wordpad, es sublime text

[@rodneyquito2673]

Buenos días, saludos, excelente video, tengo una pregunta, sabe como se podría conectar snort con android studio?

[@miguelangelgarciagalvan3099]

una pregunta segui todos los pasos y no me aparece la red de la cual esto conectado, en el archivo snort le asigne mi ip y todo pero al hacer snort -W el index sale vacio

[@josuevelasco2505]

leugimxXxlegna garcía galvan saludos amigo, tu caso es local o remoto?

[@miguelangelgarciagalvan3099]

Josue Velasco es local, ya intente cambiando la ip, conectarme a otra red y nada

[@josuevelasco2505]

leugimxXxlegna garcía galvan te invito a que revises los puertos con la herramienta winpcap, y al ejecutar el analisis de puertos abiertos verifiques con la herramienta snort que se esta reslizando una actividad. En los log de snort aparecera una actividad llamada TCP Portscan, con ello verificas que snort funciona correctamente en tu computadora. Si en la herramienta de escaneo de puertos abiertos te dira si algun puerto local no esta vulnerable, por lo tanto tambien te invito a realizar intrusiones remotas ya que la mayoria de casos es por esa vía. Observa el video donde se presenta un caso practico, presta atencion a los pasos. Saludos.

[@miguelangelgarciagalvan3099]

Josue Velasco lo checare y gracias por la ayuda

[@Gcordoba]

Hola, por favor me gustaría que me ayudaras con este error, al ejecutar las siguientes instrucciones : ---------------------------------------------------------------------------- c:\Snort\bin>snort -i 2 -c c:\snort.conf -T Me manda el siguiente error: --------------------------------------------------------------------------- ERROR: Invalid device number: 2. Fatal Error, Quitting.. Could not create the registry key. AYUDA POR FAVOR, ¡GRACIAS!

[@raulgraopestana3614]

Diría que es por la interfaz de red que usas, si no es así, comenta como lo solucionaste, un saludo

[@danyhet1830]

Hola espero me puedas ayudar, al correr la linea final me marca un error no me muestra lo de preprocessor, me dice que que hay un error y es el siguiente "pcap DAQ configured to passive. The DAQ version does not support reload. Acquiring network traffic from "\device\NPF_{}" ERROR: can't set DAQ BPF filter to 'c:\snort\log' (\)! Fatal error, Quitting.. could not set the event message file" Espero me puedas ayudar, Gracias!

[@josuevelasco2505]

Seguramente es un error de sintaxis en alguna de las líneas del archivo snort.conf donde se declara la ruta c:\snort\log revisa si no existen directorios dentro del log a declararse.

[@marco.scarvajal8897]

Hola como les va? espero que bien, tengo un problema que al momento de cargar el log se queda trabado el cmd y el archivo que me genera log me lo genera vacio. saben porque pasa eso ?

[@josuevelasco2505]

Marco.S Carvajal gracias por escribir. Revisa la ruta del archivo log, la cual se explica en el min 14:35, descomentalo y pon el directorio de tu log. Me comentas al ver el resultado. Saludos

[@Manuelrodriguez-ej4ks]

he descargado los archivos desde snort y no tengo los archivos local.rules me salta error

[@josuevelasco2505]

Manuel rodriguez saludos amigo, solventaste tu problema? que error te originó?

[@inyakigil]

hola amigos, muchas gracias por esta ayuda a los principiantes con snort, tengo una cuestión en referencia a lo que comenta Manuel, puesto que no he pagado, tengo las community-rules, éste tutorial es cómo configurar las rules de pago, podrías decir como configurar snort para utilizar las comunity rules por favor ?? un saludo.

[@IvánErustesMarianao]

maquina

[@Guzzzth]

minuto 25:47 no me cargaron las reglas... una perdida de tiempo, gracias de todas formas

[@josuevelasco2505]

Si no te cargan las reglas la configuración no es válida, revisa nuevamente el archivo snort.conf

[@bado2]

C: igual se guarda el registro de un ping de la muerte en el log?

[@josuevelasco2505]

Snort puede capturar trafico ya sea udp, tcp, etc asi que al ejecutar el comando ping se activa el protocolo icmp por lo tanto aparece en el log registrado! Saludos

[@bado2]

+Josue Velasco muchas gracias :)

[@albertosoto5238]

buenas amigo donde se coloca la ip es la red? o es la ip del equipo?? gracias

[@josuevelasco2505]

Saludos, es la ip de la red, en el minuto 12:18 lo explica.

[@pilotos_ingenieros]

[ Invalid device number: 2] (yo cometí un error al momento de configurar snorf.conf) y puse mal la mascara de la dirección ip que en mi caso yo manejo en mi red local y puse: "192.168.1.0/0" (no me di cuenta que lo puse mal), me estaba mandando error, lo que hice fue poner bien la mascara de ip a /16 y funciono, lo dejo como comentario por si a alguien le pasa, puede ser una posible solución

[@josuevelasco2505]

Gracias por la observación.