Utilizando psad, una herramienta formada por tres demonios del sistema
(dos demonios principales y un demonio ayudante) que se ejecutan en
máquinas Linux y analizan mensajes de registro de iptables para detectar
escaneos de puertos y el resto de tráfico sospechoso. Un despliegue
típico es ejecutar psad en sistemas Linux con
firewall iptables donde
tiene el acceso más rápido a los datos de registro.
Psad incorpora muchas firmas del sistema de detección de intrusos Snort
para detectar: programas de puerta trasera (EvilFTP, Novia,
SubSeven...), herramientas DDoS (tipo mstream) y los análisis de puertos
avanzados (FIN, NULL, XMAS) que son fáciles de realizar contra un
sistema a través de nmap. Cuando se combina con fwsnort y la extensión
de comparación de cadena Netfilter, psad es capaz de
detectar muchos
ataques descritos en el conjunto de reglas de Snort que involucran datos
de capa de aplicación. Además, psad hace uso de varios campos de
cabecera...
Continuar leyendo
