Unidad 11. Herramientas de detección de intrusiones

Los sistemas honeypot son completamente invulnerables a ataques

• Verdadero, por esta razón son los más utilizados como defensa

• Falso, suelen no permitir, desde ellos, el ataque a sistemas reales, pero ellos mismos si son vulnerables

• Verdadero, por esta razón los hackers atacan tanto estos sistemas para obtener información de cómo vencer sus defensas

• Falso, esto solo es verdad si colaboran con un sistema IDS

Indique los tipos de sistemas IDS con respecto a su ubicación en la topología de la red donde se vaya a instalar

• Basados en la red y basados en firmas de red

• Basados en la red y basados en sistemas concretos de la red

• Basados en firmas y basados en anomalías de la red

• Basados en anomalías de la red y mixtos de sistemas y red

Con un único sistema IDS no puede monitorizarse más que el tráfico del segmento de red donde está instalado

• Verdadero, pues solo dispone de una interfaz de monitorización

• Verdadero, pues no existen sistemas de suficiente rendimiento como para monitorizar el tráfico de más de una interface

• Falso, es sólo una cuestión de rendimiento y no de arquitectura. De hecho, Sguil implementa la posibilidad de monitorizar varios segmentos de red simultáneamente

• Falso, depende de la topología específica de la red

¿Cuál es la definición de un falso positivo en el entorno de los sistemas IDS?

• Un falso positivo es un término, utilizado solo por Cisco Systems, para referenciar los ataques a través de un cortafuegos, detenidos por el cortafuegos y para los que éste genera un mensaje de log que llega al sistema IDS

• Un falso positivo es un ataque no capturado por el sistema IDS, aun cuando éste estaba configurado para ello

• Un falso positivo es un ataque falso que, no obstante, genera una alarma de la que se puede obtener información positiva para diferenciar la próxima vez

• Un falso positivo es una alarma generada por un sistema IDS que resulta no estar asociada con un ataque real

¿Cuál de las siguientes acciones se puede asignar a las reglas de Snort para que este funcione como IPS (Intrusion Prevention System)?

• pass

• alert

• reject

• log

Answer explanation

drop, reject and sdrop están disponibles cuando Snort se utiliza en modo Inline. En este modo de funcionamiento Snort no es solo una herramienta de detección de intrusiones, sino una herramienta de prevención de las mismas o IPS (Intrusion Prevention System) ya que puede reaccionar ante los ataques detectados

¿De qué fase del desarrollo del proceso de seguridad forma parta el uso de herramientas de detección de intrusiones?

• Monitorización

• Análisis de vulnerabilidades

• Implementación

• Este tipo de herramientas se usan en todas las fases de desarrollo del proceso de seguridad

Answer explanation

Una fase de monitorización correcta debe tener en cuenta medidas de prevención y tales medidas se consiguen con herramientas denominadas sistemas de detección de intrusiones

¿Qué es la firma o signature de un ataque?

• Parte del contenido de un paquete que identifica de forma univoca a un paquete como malicioso

• La firma la compone un paquete o grupo de paquetes que indican con cierta fiabilidad que se está produciendo un ataque

• Parte de un paquete interceptado que contiene la firma digital del ataque

• Es el código de identificación de ataque (Signature ID) que asigna Snort a cada uno de los ataques que tiene categorizados

Answer explanation

Una firma sería un conjunto de reglas, típicas de una actividad, que se asocia claramente con una intrusión en la red

Snort tiene los siguientes modos de funcionamiento:

• Sniffer de paquetes y registro de paquetes

• Sniffer de paquetes, IDS e IPS

• Registro de paquetes e IDS

• Sniffer de paquetes, registro de paquetes e IDS/IPS

Answer explanation

Snort es una herramienta de software libre multiplataforma, disponible tanto para sistemas UNIX/LINUX como para Windows, capaz de funcionar como escuchador de paquetes (sniffer) y como detector de intrusiones basado en red, capaz de monitorizar el segmento de red al que está conectado

¿Cuál de las siguientes herramientas de seguridad forman parte de Sguil?

• Snort proporciona datos de alerta y captura de paquetes

• SANCP para obtener datos sobre sesiones TCP

• tcpflow permite reconstruir datos de la capa de aplicación

• Todos los anteriores son componentes de Sguil

Answer explanation

Un sistema Sguil está compuesto por un servidor y un número variable de sensores repartidos a lo largo de la red. Cada uno de estos sensores utiliza diferentes herramientas para monitorizar el tráfico y obtener la información que posteriormente enviará al servidor: Snort, SANCP, tcpflow

¿Cuál de los siguientes NO es un objetivo perseguido mediante el uso de Honeypots?

• Detectar intrusiones

• Crear confusión en el atacante

• Sustituir el uso de herramientas de detección de intrusiones como Snort o Sguil

• Investigar las técnicas utilizadas por los atacantes

Answer explanation

Los honeypots son una herramienta de obtención de información sobre los hábitos y herramientas de trabajo de los posibles atacantes, y se pueden complementar con otras herramientas como Snort o Sguil, pero nunca sustituirlas