{"id":85990,"date":"2020-06-21T01:42:12","date_gmt":"2020-06-20T23:42:12","guid":{"rendered":"https:\/\/prohoster.info\/blog\/administrirovanie\/snort-ili-suricata-chast-2-ustanovka-i-pervichnaya-nastrojka-suricata"},"modified":"2020-06-21T01:42:12","modified_gmt":"2020-06-20T23:42:12","slug":"snort-ili-suricata-chast-2-ustanovka-i-pervichnaya-nastrojka-suricata","status":"publish","type":"post","link":"https:\/\/prohoster.info\/es\/blog\/administrirovanie\/snort-ili-suricata-chast-2-ustanovka-i-pervichnaya-nastrojka-suricata","title":{"rendered":"Snort o Suricata. Parte 2: instalaci\u00f3n y configuraci\u00f3n inicial de Suricata","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Si se cree en las estad\u00edsticas, el volumen del tr\u00e1fico de red aumenta aproximadamente un 50% cada a\u00f1o. Esto provoca un aumento en la carga del equipo y, en particular, eleva las demandas de rendimiento de IDS\/IPS. Se puede comprar hardware especializado costoso, pero hay una opci\u00f3n m\u00e1s econ\u00f3mica: implementar uno de los sistemas de c\u00f3digo abierto. Muchos administradores principiantes piensan que instalar y configurar un IPS gratuito es bastante complicado. En el caso de Suricata, esto no es del todo cierto: se puede instalar y comenzar a mitigar ataques t\u00edpicos con un conjunto de reglas gratuitas en cuesti\u00f3n de minutos.<\/p>\n

\"Snort<\/a><\/noindex><\/a><\/noindex>
\nSnort o Suricata. Parte 1: eligiendo un IDS\/IPS gratuito para proteger la red corporativa<\/a><\/noindex><\/p>\n

\u00bfPor qu\u00e9 se necesita otro IPS de c\u00f3digo abierto?<\/h2>\n

\nDurante mucho tiempo, el sistema Snort, considerado est\u00e1ndar, ha sido desarrollado desde finales de los a\u00f1os noventa, por lo que originalmente era de un solo hilo. A lo largo de los a\u00f1os, ha adquirido todas las caracter\u00edsticas modernas, como el soporte para IPv6, la capacidad de an\u00e1lisis de protocolos de nivel de aplicaci\u00f3n o un m\u00f3dulo de acceso a datos universal. <\/p>\n

El motor b\u00e1sico Snort 2.X aprendi\u00f3 a trabajar con m\u00faltiples n\u00facleos, pero sigui\u00f3 siendo de un solo hilo y, por lo tanto, no puede aprovechar de manera \u00f3ptima las ventajas de las plataformas de hardware modernas. <\/p>\n

El problema fue resuelto en la tercera versi\u00f3n del sistema, pero su desarrollo tard\u00f3 tanto que en el mercado ya hab\u00eda surgido Suricata, escrita desde cero. En 2009, se comenz\u00f3 a desarrollar como una alternativa multihilo a Snort, con funciones de IPS incluidas de forma nativa. El c\u00f3digo se distribuye bajo la licencia GPLv2, pero los socios financieros del proyecto tienen acceso a una versi\u00f3n privada del motor. Algunos problemas de escalabilidad en las primeras versiones del sistema surgieron, pero se resolvieron r\u00e1pidamente.<\/p>\n

\u00bfPor qu\u00e9 Suricata?<\/h2>\n

\nSuricata tiene varios m\u00f3dulos (al igual que Snort): de captura, recolecci\u00f3n, decodificaci\u00f3n, detecci\u00f3n y salida. Por defecto, el tr\u00e1fico capturado es decodificado en un solo hilo, aunque esto carga m\u00e1s el sistema. Si es necesario, los hilos se pueden dividir en la configuraci\u00f3n y distribuirse entre los procesadores: Suricata est\u00e1 muy bien optimizado para hardware espec\u00edfico, aunque esto ya no es un nivel HOWTO para principiantes. Tambi\u00e9n cabe destacar la presencia en Suricata de herramientas avanzadas de inspecci\u00f3n HTTP basadas en la biblioteca HTP. Estas tambi\u00e9n pueden utilizarse para el registro de tr\u00e1fico sin detecci\u00f3n. El sistema tambi\u00e9n admite la decodificaci\u00f3n de IPv6, incluidos t\u00faneles IPv4-en-IPv6, IPv6-en-IPv6 y otros. <\/p>\n

Para la interceptaci\u00f3n de tr\u00e1fico se pueden utilizar diferentes interfaces (NFQueue, IPFRing, LibPcap, IPFW, AF_PACKET, PF_RING), y en modo Unix Socket se puede analizar autom\u00e1ticamente archivos PCAP capturados por otro sniffer. Adem\u00e1s, la arquitectura modular de Suricata facilita la incorporaci\u00f3n de nuevos elementos para la captura, decodificaci\u00f3n, an\u00e1lisis y procesamiento de paquetes de red. Tambi\u00e9n es importante se\u00f1alar que en Suricata el bloqueo de tr\u00e1fico se lleva a cabo mediante el filtrado nativo del sistema operativo. En GNU\/Linux hay dos opciones de funcionamiento de IPS: a trav\u00e9s de la cola NFQUEUE (modo NFQ) y mediante zero copy (modo AF_PACKET). En el primer caso, el paquete que cae en iptables se dirige a la cola NFQUEUE, donde puede ser procesado a nivel de usuario. Suricata lo eval\u00faa seg\u00fan sus reglas y emite uno de tres veredictos: NF_ACCEPT, NF_DROP y NF_REPEAT. Los dos primeros no requieren explicaci\u00f3n, y el \u00faltimo permite marcar los paquetes y enviarlos de vuelta al inicio de la tabla actual de iptables. El modo AF_PACKET se caracteriza por un mayor rendimiento, pero impone ciertas restricciones al sistema: debe tener dos interfaces de red y funcionar como un gateway. Un paquete bloqueado simplemente no se reenv\u00eda a la segunda interfaz. <\/p>\n

Una caracter\u00edstica importante de Suricata es la posibilidad de utilizar desarrollos de Snort. Al administrador se le ofrecen, entre otros, los conjuntos de reglas Sourcefire VRT y OpenSource Emerging Threats, as\u00ed como Commercial Emerging Threats Pro. La salida unificada se puede analizar utilizando backend populares y tambi\u00e9n se soporta la salida en PCAP y Syslog. Las configuraciones del sistema y las reglas se almacenan en archivos de formato YAML, que son f\u00e1ciles de leer y pueden ser procesados autom\u00e1ticamente. El motor Suricata reconoce numerosos protocolos, por lo que no es necesario vincular las reglas a un n\u00famero de puerto. Adem\u00e1s, en las reglas de Suricata se practica activamente el concepto de flowbits. Para rastrear la activaci\u00f3n, se utilizan variables de sesi\u00f3n que permiten crear y aplicar diferentes contadores y flags. Muchos IDS consideran diferentes conexiones TCP como entidades separadas y pueden no ver la relaci\u00f3n entre ellas, que indica el inicio de un ataque. Suricata intenta ver el panorama completo y en muchos casos reconoce el tr\u00e1fico malicioso distribuido a trav\u00e9s de diferentes conexiones. Se puede hablar mucho de sus ventajas, pero mejor pasemos a la instalaci\u00f3n y configuraci\u00f3n.<\/p>\n

\u00bfC\u00f3mo instalar?<\/h2>\n

\nVamos a instalar Suricata en un servidor virtual que funciona con Ubuntu 18.04 LTS. Todos los comandos deben ejecutarse como superusuario (root). La opci\u00f3n m\u00e1s segura es conectarse al servidor por SSH con los derechos de un usuario normal y luego aplicar la utilidad sudo para elevar privilegios. Primero, necesitamos instalar los paquetes que nos ser\u00e1n necesarios:<\/p>\n

sudo apt -y install libpcre3 libpcre3-dev build-essential autoconf automake libtool libpcap-dev libnet1-dev libyaml-0-2 libyaml-dev zlib1g zlib1g-dev libmagic-dev libcap-ng-dev libjansson-dev pkg-config libnetfilter-queue-dev geoip-bin geoip-database geoipupdate apt-transport-https<\/code><\/pre>\n
\nConectamos el repositorio externo:<\/p>\n
sudo add-apt-repository ppa:oisf\/suricata-stable\nsudo apt-get update<\/code><\/pre>\n
\nInstalamos la \u00faltima versi\u00f3n estable de Suricata:<\/p>\n
sudo apt-get install suricata<\/code><\/pre>\n
\nSi es necesario, ajustamos los archivos de configuraci\u00f3n de nombre, reemplazando el eth0 predeterminado por el nombre real de la interfaz externa del servidor. La configuraci\u00f3n predeterminada se encuentra en el archivo \/etc\/default\/suricata, y la personalizada en \/etc\/suricata\/suricata.yaml. La configuraci\u00f3n del IDS se limita en gran medida a la modificaci\u00f3n de este archivo de configuraci\u00f3n. Contiene numerosos par\u00e1metros cuyos nombres y prop\u00f3sitos coinciden con sus equivalentes en Snort. Sin embargo, la sintaxis es completamente diferente, pero el archivo es mucho m\u00e1s f\u00e1cil de leer que las configuraciones de Snort, adem\u00e1s est\u00e1 bien comentado.<\/p>\n
sudo nano \/etc\/default\/suricata<\/code><\/pre>\n
\n\"Snort
\n
\ny<\/p>\n
sudo nano \/etc\/suricata\/suricata.yaml<\/code><\/pre>\n
\n\"Snort
\n
\n\u00a1Atenci\u00f3n! Antes de iniciar, se deben verificar los valores de las variables en la secci\u00f3n vars.<\/p>\n
Para completar la configuraci\u00f3n, ser\u00e1 necesario instalar suricata-update para actualizar y cargar las reglas. Hacer esto es bastante sencillo:<\/p>\n
sudo apt install python-pip\nsudo pip install pyyaml\nsudo pip install <a href="https:\/\/github.com\/OISF\/suricata-update\/archive\/master.zip">https:\/\/github.com\/OISF\/suricata-update\/archive\/master.zip<\/a>\nsudo pip install --pre --upgrade suricata-update<\/code><\/pre>\n
\nA continuaci\u00f3n, necesitamos ejecutar el comando suricata-update para instalar el conjunto de reglas Emerging Threats Open:<\/p>\n
sudo suricata-update<\/code><\/pre>\n
\n\"Snort
\n
\nPara ver la lista de fuentes de reglas, ejecutamos el siguiente comando:<\/p>\n
sudo suricata-update list-sources<\/code><\/pre>\n
\n\"Snort
\n
\nActualizamos las fuentes de reglas:<\/p>\n
sudo suricata-update update-sources<\/code><\/pre>\n
\n\"Snort
\n
\nRevisamos nuevamente las fuentes actualizadas:<\/p>\n
sudo suricata-update list-sources<\/code><\/pre>\n
\nSi es necesario, se pueden habilitar las fuentes gratuitas disponibles:<\/p>\n
sudo suricata-update enable-source ptresearch\/attackdetection\nsudo suricata-update enable-source oisf\/trafficid\nsudo suricata-update enable-source sslbl\/ssl-fp-blacklist<\/code><\/pre>\n
\nDespu\u00e9s de eso, es necesario actualizar las reglas una vez m\u00e1s:<\/p>\n
sudo suricata-update<\/code><\/pre>\n
\nCon esto, la instalaci\u00f3n y configuraci\u00f3n inicial de Suricata en Ubuntu 18.04 LTS se puede considerar finalizada. A continuaci\u00f3n, comenzar\u00e1 lo m\u00e1s interesante: en el siguiente art\u00edculo, conectaremos el servidor virtual a la red de oficina a trav\u00e9s de VPN y comenzaremos a analizar todo el tr\u00e1fico entrante y saliente. Prestaremos especial atenci\u00f3n al bloqueo de ataques DDoS, la actividad de malware y los intentos de explotaci\u00f3n de vulnerabilidades en los servicios accesibles desde redes p\u00fablicas. Para mayor claridad, se simular\u00e1n ataques de los tipos m\u00e1s comunes.<\/p>\n
\"Snort<\/a><\/noindex><\/p>\n
\"Snort<\/a><\/noindex>
\n
Fuente: habr.com<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"
\u0415\u0441\u043b\u0438 \u0432\u0435\u0440\u0438\u0442\u044c \u0441\u0442\u0430\u0442\u0438\u0441\u0442\u0438\u043a\u0435, \u043e\u0431\u044a\u0435\u043c \u0441\u0435\u0442\u0435\u0432\u043e\u0433\u043e \u0442\u0440\u0430\u0444\u0438\u043a\u0430 \u0443\u0432\u0435\u043b\u0438\u0447\u0438\u0432\u0430\u0435\u0442\u0441\u044f \u043f\u0440\u0438\u043c\u0435\u0440\u043d\u043e \u043d\u0430 50% \u043a\u0430\u0436\u0434\u044b\u0439 \u0433\u043e\u0434. \u042d\u0442\u043e \u043f\u0440\u0438\u0432\u043e\u0434\u0438\u0442 \u043a \u0440\u043e\u0441\u0442\u0443 \u043d\u0430\u0433\u0440\u0443\u0437\u043a\u0438 \u043d\u0430 \u043e\u0431\u043e\u0440\u0443\u0434\u043e\u0432\u0430\u043d\u0438\u0435 \u0438, \u0432 \u0447\u0430\u0441\u0442\u043d\u043e\u0441\u0442\u0438, \u043f\u043e\u0432\u044b\u0448\u0430\u0435\u0442 \u0442\u0440\u0435\u0431\u043e\u0432\u0430\u043d\u0438\u044f \u043a \u043f\u0440\u043e\u0438\u0437\u0432\u043e\u0434\u0438\u0442\u0435\u043b\u044c\u043d\u043e\u0441\u0442\u0438 IDS\/IPS. \u041c\u043e\u0436\u043d\u043e \u043f\u043e\u043a\u0443\u043f\u0430\u0442\u044c \u0434\u043e\u0440\u043e\u0433\u043e\u0441\u0442\u043e\u044f\u0449\u0435\u0435 \u0441\u043f\u0435\u0446\u0438\u0430\u043b\u0438\u0437\u0438\u0440\u043e\u0432\u0430\u043d\u043d\u043e\u0435 \u0436\u0435\u043b\u0435\u0437\u043e, \u043d\u043e \u0435\u0441\u0442\u044c \u0432\u0430\u0440\u0438\u0430\u043d\u0442 \u043f\u043e\u0434\u0435\u0448\u0435\u0432\u043b\u0435 \u2014 \u0432\u043d\u0435\u0434\u0440\u0435\u043d\u0438\u0435 \u043e\u0434\u043d\u043e\u0439 \u0438\u0437 \u0441\u0438\u0441\u0442\u0435\u043c \u0441 \u043e\u0442\u043a\u0440\u044b\u0442\u044b\u043c \u0438\u0441\u0445\u043e\u0434\u043d\u044b\u043c \u043a\u043e\u0434\u043e\u043c. \u041c\u043d\u043e\u0433\u0438\u0435 \u043d\u0430\u0447\u0438\u043d\u0430\u044e\u0449\u0438\u0435 \u0430\u0434\u043c\u0438\u043d\u0438\u0441\u0442\u0440\u0430\u0442\u043e\u0440\u044b \u0441\u0447\u0438\u0442\u0430\u044e\u0442, \u0431\u0443\u0434\u0442\u043e \u0443\u0441\u0442\u0430\u043d\u043e\u0432\u0438\u0442\u044c \u0438 \u0441\u043a\u043e\u043d\u0444\u0438\u0433\u0443\u0440\u0438\u0440\u043e\u0432\u0430\u0442\u044c \u0431\u0435\u0441\u043f\u043b\u0430\u0442\u043d\u0443\u044e IPS […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":85991,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[688],"tags":[],"class_list":["post-85990","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-administrirovanie"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\n","aioseo_head_json":{"title":"\ud83e\udd47Snort o Suricata. Parte 2: instalaci\u00f3n y configuraci\u00f3n inicial de Suricata | ProHoster","description":"Si se cree en las estad\u00edsticas, el volumen del tr\u00e1fico de red aumenta aproximadamente un 50% cada a\u00f1o. Esto lleva a un aumento de la carga en el hardware y, en particular, eleva los requisitos de rendimiento del IDS\/IPS.","canonical_url":"https:\/\/prohoster.info\/es\/blog\/administrirovanie\/snort-ili-suricata-chast-2-ustanovka-i-pervichnaya-nastrojka-suricata","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"es_ES","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47Snort \u0438\u043b\u0438 Suricata. \u0427\u0430\u0441\u0442\u044c 2: \u0443\u0441\u0442\u0430\u043d\u043e\u0432\u043a\u0430 \u0438 \u043f\u0435\u0440\u0432\u0438\u0447\u043d\u0430\u044f \u043d\u0430\u0441\u0442\u0440\u043e\u0439\u043a\u0430 Suricata | ProHoster","og:description":"\u0415\u0441\u043b\u0438 \u0432\u0435\u0440\u0438\u0442\u044c \u0441\u0442\u0430\u0442\u0438\u0441\u0442\u0438\u043a\u0435, \u043e\u0431\u044a\u0435\u043c \u0441\u0435\u0442\u0435\u0432\u043e\u0433\u043e \u0442\u0440\u0430\u0444\u0438\u043a\u0430 \u0443\u0432\u0435\u043b\u0438\u0447\u0438\u0432\u0430\u0435\u0442\u0441\u044f \u043f\u0440\u0438\u043c\u0435\u0440\u043d\u043e \u043d\u0430 50% \u043a\u0430\u0436\u0434\u044b\u0439 \u0433\u043e\u0434. \u042d\u0442\u043e \u043f\u0440\u0438\u0432\u043e\u0434\u0438\u0442 \u043a \u0440\u043e\u0441\u0442\u0443 \u043d\u0430\u0433\u0440\u0443\u0437\u043a\u0438 \u043d\u0430 \u043e\u0431\u043e\u0440\u0443\u0434\u043e\u0432\u0430\u043d\u0438\u0435 \u0438, \u0432 \u0447\u0430\u0441\u0442\u043d\u043e\u0441\u0442\u0438, \u043f\u043e\u0432\u044b\u0448\u0430\u0435\u0442 \u0442\u0440\u0435\u0431\u043e\u0432\u0430\u043d\u0438\u044f \u043a \u043f\u0440\u043e\u0438\u0437\u0432\u043e\u0434\u0438\u0442\u0435\u043b\u044c\u043d\u043e\u0441\u0442\u0438 IDS\/IPS.","og:url":"https:\/\/prohoster.info\/es\/blog\/administrirovanie\/snort-ili-suricata-chast-2-ustanovka-i-pervichnaya-nastrojka-suricata","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2020-06-20T23:42:12+00:00","article:modified_time":"2020-06-20T23:42:12+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":{"post_id":"85990","title":null,"description":null,"keywords":null,"keyphrases":{"focus":[],"additional":[]},"primary_term":null,"canonical_url":null,"og_title":null,"og_description":null,"og_object_type":"default","og_image_type":"default","og_image_url":null,"og_image_width":null,"og_image_height":null,"og_image_custom_url":null,"og_image_custom_fields":null,"og_video":null,"og_custom_url":null,"og_article_section":null,"og_article_tags":null,"twitter_use_og":false,"twitter_card":"default","twitter_image_type":"default","twitter_image_url":null,"twitter_image_custom_url":null,"twitter_image_custom_fields":null,"twitter_title":null,"twitter_description":null,"schema":{"blockGraphs":[],"customGraphs":[],"default":{"data":{"Article":[],"Course":[],"Dataset":[],"FAQPage":[],"Movie":[],"Person":[],"Product":[],"ProductReview":[],"Car":[],"Recipe":[],"Service":[],"SoftwareApplication":[],"WebPage":[]},"graphName":"","isEnabled":true},"graphs":[]},"schema_type":null,"schema_type_options":null,"pillar_content":false,"robots_default":true,"robots_noindex":false,"robots_noarchive":false,"robots_nosnippet":false,"robots_nofollow":false,"robots_noimageindex":false,"robots_noodp":false,"robots_notranslate":false,"robots_max_snippet":null,"robots_max_videopreview":null,"robots_max_imagepreview":"large","priority":null,"frequency":null,"local_seo":null,"seo_analyzer_scan_date":null,"breadcrumb_settings":null,"limit_modified_date":false,"reviewed_by":null,"ai":null,"created":"2021-02-28 14:26:01","updated":"2026-08-11 12:50:15","focus_keyword":null,"additional_keywords":null,"truseo_locale":null},"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/es\/wp-json\/wp\/v2\/posts\/85990","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/es\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/es\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/es\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/es\/wp-json\/wp\/v2\/comments?post=85990"}],"version-history":[{"count":0,"href":"https:\/\/prohoster.info\/es\/wp-json\/wp\/v2\/posts\/85990\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/prohoster.info\/es\/wp-json\/wp\/v2\/media\/85991"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/es\/wp-json\/wp\/v2\/media?parent=85990"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/es\/wp-json\/wp\/v2\/categories?post=85990"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/es\/wp-json\/wp\/v2\/tags?post=85990"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}