Herramientas de Detección y Prevención de Intrusos

Content Leader: Jess Garcia - Last Updated: February 23, 2007

Análisis de Tráfico

• etherape - Monitor gráfico de red para sistemas Unix.
• ethereal/tethereal - Potente sniffer y analizador de tráfico de red.
• ipsumdump - Herramienta que resume volcados en fichero de tráfico TCP/IP en un formato ASCIL fácilmente entendible por lo humanos.
• libpcap/winpcap - Librerías utilizadas y necesarias por muchas herramientas de análisis de tráfico y sniffers.
• mergecap - Programa que combina y une múltiples ficheros de capturas en un solo fichero especificado de salida.
• netdude - Visualizador de volcados de datos de tráfico de red y editor que permite de manera visual el análisis, inspección y manipulación de ficheros de trazas tipo tcpdump.
• ngrep - Provee la mayoría de las características de la herramienta GNU grep, aplicándolas a la capa de red.
• p0f - Versátil herramienta para identificación de sistemas operativos de manera pasiva (fingerprinting).
• ssldump - Analizador de protocolos SSLv3/TLS, capaz de identificar conexiones TCP en las interfaces de red especificadas.
• tcpbridge - Herramienta para puentear el tráfico de red a través de dos interfaces, modificando opcionalmente los paquetes en tránsito. Forma parte de la suite de herramientas tcpreplay.
• tcpdpriv - Programa que permite la eliminación de información confidencial de paquetes de tráfico de red obtenidos desde un fichero ó interfaz de red.
• tcpdump/windump - Robusta herramienta para la captura y análisis de tráfico de red.
• tcpflow - Utilidad que captura datos transmitidos como parte de conexiones TCP (flows), de manera conveniente para el análisis y de debugging de protocolos.
• tcpreplay - Herramienta bajo licencia BSD para sistemas UNIX que posibilita la reproducción de tráfico de red capturado usando el formato ofrecido por las librerías libpcap.
• tcprewrite - Herramienta para reescribir los paquetes de un fichero pcap. Forma parte de la suite de herramientas tcpreplay.
• tcpspy - Es una herramienta de administración que loguea información de entrada y salida de conexiones TCP/IP.
• tcpstat - Utilidad que reporta estadísticas procedentes de interfaces de red, como vmstat hace para las estadísticas del sistema.
• tcptrace - Herramienta para el análisis de tráfico tomándolas desde ficheros generados con herramientas de capturas de paquetes (incluyendo tcpdump).
• tomahawk - Herramienta para reproducir ficheros de captura tcpdump de forma bidireccional a velocidades arbitrarias.

NIDS

• arpwatch - Monitoriza actividad procedente de arquitecturas ethernet ó fddi y mantiene una base de datos de las direcciones ethernet/IP.
• ASDIC - ASDIC es un sistema para análisis de tráfico avanzado. Se puede ver ASDIC como un firewall "inverso" que toma como entrada información desestructurada y cuya salida es un juego de reglas.
• BASE - Basic Analysis and Security Engine. Herramienta para anáslisis de red, basada en el código del projecto ACID (Analysis Console for Intrusion Databases).
• snort - Herramienta bajo licencia open source para la detección y prevención de intrusos.
• shadow - Utilidad de seguridad IDS, resultado del proyecto originalmente llamado CIDER (Cooperative Intrusion Detection Evaluation and Response).
• Sguil - Rápido y potente front-end para snort.
• Snortcenter2 - Intuitiva herramienta para administración y gestión de sensores snort mediante interfaz web.
• Aanval/Openaanval - Consola de visualización y administración para detección de intrusos que permite tomar información de diversas fuentes (snort, syslog, etc).
• IDS Policy Manager - Herramienta para la administración de sensores IDS snort para entornos d distribuidos en sistemas Windows.
• SNORTSAM - Plugin para Snort que permite el bloqueo automatizado d direcciones ip en distintos cortafuegos.
• Bro-IDS - Sistema de detección de intrusos de red basado en Unix (NIDS) que monitoriza de manera pasiva el tráfico de red y observa tráfico sospechoso.
• PADS - Utilidad que combina sniffers de red con motores de detección basados en reglas de manera similar a un sistema IDS, que permite observar los hosts y servicios que están corriendo dentro de una red.

HIDS

Genéricos

• AIDE - (Advanced Intrusion Detection Environment). Es un sustituto libre de Tripwire.
• Debcheck - Herramienta de chequeo de integridad integrada en sistemas Debian GNU/Linux.
• Gherkin - Utilidad basada en web para la administración centralizada de escaners, permitiendo la incorporación e integración de escaneos de vulnerabilidad con Nessus, escaneos nmap, dns y nslookup, y resolución de hosts.
• Host-sentry - Software que protege contra escaneos de puertos, automatiza la auditoria de ficheros de logs y detecta actividades sospechosas de logueo.
• openSIMS - OpenSIMS es una herramienta que une NMap, Snort, y otras herramientas open source para constituir un sistema de gestión de la infraestructura de seguridad.
• OpenHIDS - Potente herramienta libre para sistemas windows, para la detección de intrusos.
• Os-hids - Software Open Source que analiza ficheros de logs (en tiempo real, como demonio) y realiza algunas acciones si encuentra actividad maliciosa.
• OSSEC - Sistema detección de intrusos basado en host bajo licencia Open source. Realiza análisis de logs, chequeos de integridad, detección de rootkits, que alerta y realiza respuestas activas.
• Prelude - Entorno IDS híbrido, posibilita la integración de distintas aplicaciones de seguridad en un mismo entorno.
• Samhain - Sistema multiplataformas bajo licencia, que centraliza el chequeo de integridad de ficheros y la detección de intrusos basada en host.
• snare - Entorno multiplataformas para la generación de informes y análisis.
• tiger - Scripts programado en C, usado para la generación de auditorias de seguridad en sistemas Unix.
• tripwire - Herramienta de seguridad y chequeo de integridad de datos usado para la monitorización y alertas en específícos cambios en ficheros.
• Wkr - Realiza verificación activa de alertas, esta técnica permite reducir falsos positivos en IDS probando activamente una vulnerabilidad asociada con ataques detectados.

Logging Avanzado / Centralizado / Remoto

• syslog-ng - flexíble y escalable herramienta de auditoria. Permite el almacenado seguro de logs centralizados en maquinas remotas (sustituto de syslog).
• msyslog - MSyslog es un subsistema para sistemas operativos Unix, el cual reemplaza el tradicional demonio syslogd, aportando nuevas capacidades como la centralización de logs, preservación de la integridad de los archivos e incluso almacenamiento en bases de datos.
• sdscsyslog - SDSC Syslog es un sustituto moderno y fiable de syslogd. Soporta los nuevos protocolos de syslog (RFC 3195) proporcionando soporte para entrega fiable. Es compatible hacia atrás con las antiguas versiones del protocolo sobre UDP.
• Lasso - Recolector centralizado de eventos de Windows: fiable gracias al uso de TCP, compatible con syslog-ng, multi-threaded y con soporte para logs de aplicaciones de terceros.
• Winlogd - Cliente syslog para Windows que permite al Log de Eventos hablar con syslog.

Análisis de logs y Correlación

• logwatch - Sistema configurable para el análisis de logs.

• logsurfer - Sistema diseñado para la monitorización de algunos ficheros de logs basados en texto en tiempo real en sistemas Unix.
• logcheck - Simple utilidad diseñada para permitir a los administradores de sistemas, visualizar archivos de logs producidos en hosts bajo su control.
• LoGS - Potente visualizador de eventos basado en logs.
• Logias - Consola para la detección de intrusiones en tiempo real para sistemas Windows NT/2K/XP.
• LogMonitor - Herramienta basada en LogIDS que presenta la información de una manera más amigable que el anterior agrupando los logs por aplicación.
• Logrep- Entorno de seguridad multiplataforma para la recolección, extracción y presentación de información de distintos ficheros de logs.
• newlogcheck - Herramienta script Unix para el chequeo y manipulación de logs.
• __openSIMS - OpenSIMS ties together NMap, Snort, and other open source tools into a Security Infrastructure Management System.
• OSSIM - Herramienta Open source que permite integrar y administrar en un mismo entorno distintas herramientas Open source. SIM CD.
• Php-syslog-ng - Fron-end escrito php, que permite a usuarios ver los mensajes loguéos en mysql de syslog-ng en tiempo real.
• SEC - (Simple Event Correlador). Herramienta Open source, independiente de la plataforma que permite la correlación de eventos.
• Splunk - Splunk indexa y enlaza todos los datos que están siendo constantemente registrados por cualquier servicio, aplicación o dispositivo en el Data Center, independientemente de su fuente o formato.
• swatch - Herramienta para monitorización active de logs en sistemas Unix.

• Otras referencias:
  • http://www.linuxlinks.com/Software/Log_Analyzers/
  • http://loganalysis.org/

Firewall logs

• fwlogwatch - Analizador de filtros de paquetes (logs de cortafuegos y analizador de logs de IDS)
• fwanalog - Script de shell que resume ficheros de logs de cortafuegos.
• iptablelog - Analizador de log para IPTables en un bonito entorno HTML.
• hatchet - Herramienta para la presentación y visualización de logs (para logs de OpenBSD PF).
• fwlogview - Visualizador gráfico de logs para cortafuegos (Linux netfilter/iptables, CISCO PIX y *BSD ipfilter).

Detectores de Rootkits

• chkrootkit - Herramienta para sistemas Unix/Linux para el chequeo y búsqueda de rootkits.
• klister - Conjunto de herramientas paras sistemas Windows 2000, que muestra información acerca del estado del sistema (incluyendo procesos ocultos típicos de los rootkits).
• Rootkit Revealer - Avanzado y fácil sistema de detección de rootkits para sistemas basados en Windows NT 4 ó superior.
• Rootkit Profiler LX - Toolkit para detección de rootkits a nivel del Kernel