Preparación del entorno - Snort
Vamos a crear una red virtual con VMWare para meter en la misma red virtual todas las maquinas que vayamos a ir hackeando o haciendole pruebas de penetracion, incluida la del kali.
Nos iremos en VMWare -> Edit -> Virtual Network Editor... -> Change Settings -> Add Network... -> seleccionamos VMnet3 -> Ok -> en la parte de Subnet IP lo pondremos como 192.168.20.0 -> Apply -> Ok.
Una vez que ya hayamos configurado toda la red virtual en Host Only haremos lo siguiente:
Nos vamos a la maquina Tr0ll: 1 seleccionamos Edit Virtual Machine Settings -> Network Adapter -> Custom: Specific virtual network -> seleccionamos VMnet3 (Host-only).
Iniciaremos la maquina dandole a Power... y seguidamente mientras se inicia la maquina, descargaremos la herramienta de seguridad llamada Snort.
Este software es un IDS bastante ponente el cual se encarga principalmente de detectar actividad maliciosa en trafico de red, generalmente este tipo de herramientas se colocan en un punto de la infraestructura tecnologica por donde pasa el trafico de red que se intercambia por los sistemas que queremos monitorizar, en nuestro caso nuestro punto central va a ser nuestra maquina host.
Si nosotros en nuestro windows abrimos powershell y ejecutamos:
ipconfigVamos a ver que tenemos creado nuestra red virtual de VMWare que creamos anteriormente el VMnet3:
Adaptador de Ethernet VMware Network Adapter VMnet3:
Sufijo DNS específico para la conexión. . :
Vínculo: dirección IPv6 local. . . : fe80::ef:b5c0:32f7:5d45%56
Dirección IPv4. . . . . . . . . . . . . . : 192.168.20.1
Máscara de subred . . . . . . . . . . . . : 255.255.255.0
Puerta de enlace predeterminada . . . . . :Y vemos que nuestra maquina host esta actuando como un router virtual.
192.168.20.1Ya que la .1 suele estar destinada al router que es la que se va a encargar de distribuir el trafico entre los diferentes dispositivos que esten conectados a su red, en nuestro caso lo hace la maquina host, por lo que si nosotros instalamos Snort dentro de nuestra maquina host lo que vamos a poder hacer es monitorizar todo el trafico que se intercambie entre las maquinas virtuales.
Con esto podremos ver como aplicar medidas para evadir la deteccion de este tipo de herramientas de seguridad que nos vamos a encontrar en cualquier entorno profesional.
Vamos a descargarnos la herramienta de Snort:
URL = Download Snort
Una vez que se nos haya instalado, cuando le demos a close nos pondra el siguiente mensaje:
El cual nos dice que se instalo todo correctamente, pero que para poder interceptar los datos de una maquina a otra necesitara una libreria llamada Npcap que pertenece a nmap, por lo que nos iremos a la siguiente pagina:
URL = Download Npcap
Una vez que hayamos ejecutado el instalador e instalado todo, tendremos que irnos a la siguiente ruta de windows:
Aqui dentro veremos varios archivos entre ellos uno llamado snort.conf este le tendremos que reemplazar por una configuracion ya profesional que tendremos que descargar en el siguiente link:
URL = Download snort.conf
Y este archivo lo pegaremos en esa ruta reemplazandolo, seguidamente nos descargaremos las reglas configuradas de Snort tambien en un .zip:
URL = Download rules_snort.zip
Y tendremos que descomprimir la carpeta ZIP, nos dejara una carpeta llamada rules, pues el contenido de la misma los 75 archivos los pegaremos en la siguiente ruta:
Una vez echo todo esto, ya tendriamos a punto nuestro software.
NOTA IMPORTANTE:
Si por ejemplo pusisteis una direccion distinta que no fuera la 192.168.20.0 por ejemplo la 192.168.50.0 tendreis que actualizarlo en el archivo snort.conf en la siguiente seccion:
Cuando tengamos ya todo, iniciaremos nuestro kali y le meteremos en la red de VMnet3 como hicimos con la anterior maquina.
Ahora cuando tengamos las 2 maquinas desplegadas y queramos capturar todo el trafico con Snort ejecutaremos lo siguiente en nuestra powershell en windows.
Con -W vemos las interfaces de red que tenemos disponibles.
La que nos interesa es la de VMnet3 vemos que en mi caso esta asignado con el numero 5 por lo que haremos lo siguiente:
Con el -i especificamos el numero de la interfaz que queremos monitorizar Con el -A especificamos que las alertas nos la muestre por consola Con el -c especificamos que utilice el fichero de configuracion que implementamos anteriormente
Como veremos Snort ya esta monitorizando la interfaz de red.
Vamos a ver si realmente esta capturando todo el trafico de red de la siguiente forma, nos iremos a kali y haremos un escaneo simple con nmap para ver que IP tiene la maquina tr0ll:
Info:
Vemos que el scaneo fue bien, pero si nos vamos al PowerShell veremos lo siguiente:
Vemos que Snort nos ha capturado el scaneo que hemos realizado y nos lo clasifica de esta forma:
Con un (portscan), basicamente un escaneo de puertos, con la direccion IP de entrada y la de destino.
Mas adelante veremos a como Bypassear estas medidas de seguridad para que no seamos detectados por herramientas como estas.
Last updated