Prelude IDS / IPS. Geolocalización de eventos de scan de puertos con Prelude-correlator y PortscanGeoinfo.

La arquitectura de Prelude para prelude-correlator, permite la creación de plugins y/o reglas de correlación, ya os lo comenté en Centro IDS / IPS con Prelude SIEM. Parte 7. Instalación y puesta en marcha de prelude-correlator.

prelude_08_05.png

En esta ocasión vamos a instalar y ver como funciona el plugin PortscanGeoinfo. Este plugin desarrollado por David Rupprechter de http://www.dotlike.net, lo que hace es añadir información geográfica para eventos de scan de puertos (EventScan) en prelude-correlator.

Instalación y requisitos previos para PortscanGeoinfo.

Antes que nada necesitamos instalar:

  • python-geoip
  • libgeoip1
  • python-setuptools
  • base de datos GeoLiteCity

Vamos a ello.

Descargamos PortscanGeoinfo desde http://www.dotlike.net/ddl//prj_count.php?d=2

Descomprimimos y una vez en la carpeta portscangeoinfo, hacemos lo siguiente:

python setup.py build

python setup.py install

Ahora vamos a /etc/prelude-correlator/prelude-correlator.conf y añadimos lo enmarcado en rojo:

prelude-correlaor activacion plugin portscangeoinfo

Salvamos el archivo.

Descarga e instalación base datos GeoLiteCity.

Ahora vamos a descargar labase de datos GeoLiteCity desde:

http://geolite.maxmind.com/download/geoip/database/GeoLiteCity.dat.gz

y descomprimimos con gzip -d en /usr/share/GeoIP.

Puesta en marcha y pruebas.

Paramos ahora prelude-correlator y lo volvemos a poner en marcha para que tome la nueva configuración. Una vez que se valide en prelude-manager estará listo. Veremos que en la lista de plugins cargados tendremos uno más.

Ahora realizamos un portscan. Yo he usado la siguiente línea para nmap:

>nmap -sV -O -vv 192.168.1.106 -T3 -eeth0 -p1-12000 -S 213.xx.xx.xx

El resultado es el siguiente en Prewikka > Alertas:

evento en prewikka para prelude correlator porscan u geolocalizacion

Ahora nos vamos a la pestaña  Alertas de correlación y:

Informacion geografica geolocalizacion prelude-correlator en prewikka

Si pulsamos con el ratón en Geographical Information for portscan….y Alert Detail:

alert Detail para informacion geografica porscan prelude correlator y prewikka

Relacionado con Prelude IDS / IPS:

==============

Y hasta aquí por hoy. Hasta la próxima.

Esta entrada fue publicada en Nmap, Prelude IDS - IPS, Seguridad y redes. Guarda el enlace permanente.

2 respuestas a Prelude IDS / IPS. Geolocalización de eventos de scan de puertos con Prelude-correlator y PortscanGeoinfo.

  1. Pingback: Visualización interactiva de tráfico de red con INAV. | Seguridad y Redes

  2. Pingback: Argus. Auditando el tráfico de red. Parte 6. Argus y Geolocalización con GeoIP. | Seguridad y Redes

Responder

Introduce tus datos o haz clic en un icono para iniciar sesión:

Logo de WordPress.com

Estás comentando usando tu cuenta de WordPress.com. Cerrar sesión / Cambiar )

Imagen de Twitter

Estás comentando usando tu cuenta de Twitter. Cerrar sesión / Cambiar )

Foto de Facebook

Estás comentando usando tu cuenta de Facebook. Cerrar sesión / Cambiar )

Google+ photo

Estás comentando usando tu cuenta de Google+. Cerrar sesión / Cambiar )

Conectando a %s