ruteo interno "virtual" para snort

Eliezar dijo:

Nenes

estoy haciendo pruebas con snort pero en maquina virtual , el asunto es si puedo de alguna forma desviar (mirror me imagino) todo el trafico de la red lan que pasa por el switch core (fortinet ) y tirarlo por alguna vlan hacia la vm de snort

es posible ?

Haz clic para expandir...

pitzyper dijo:

Intenté usar Snort pero no quise hacer que todo mi tráfico pasara por una máquina virtual que podía sumar latencia.

La idea sería que usaras el server de Snort casi como router, para pasar todo el tráfico por ahí. Lo dejas directo al router, le activas el IP forwarding y así lo usas como gateway, todos tus equipos de la red los apuntas a la IP de la VM, así pasan a través de la misma. Esa es la forma más "simple" de hacerlo que he encontrado.

Saludos

Haz clic para expandir...

Eliezar dijo:

si claro , es una forma quizas , pero quiero que solo escuche y analize el trafico , al menos con wireshark y un switch cisco l3 conectando a una puerta y configurarndo port mirror en esa puerta , el switch copia el trafico saliente y entrante tambien a esa puerta

pero ahora el tema que es una maquina virtual

Haz clic para expandir...

Eliezar dijo:

Nenes

estoy haciendo pruebas con snort pero en maquina virtual , el asunto es si puedo de alguna forma desviar (mirror me imagino) todo el trafico de la red lan que pasa por el switch core (fortinet ) y tirarlo por alguna vlan hacia la vm de snort

es posible ?

Haz clic para expandir...

JohnL dijo:

Si quieres que Snort funcione debes hacer que el trafico pase por el, no es como correr un sniffer en un puerto en modo port mirror.

Haz clic para expandir...

Eliezar dijo:

puede ser ids o ips

imagino q en modo ids solo necesita revisar trafico y no bloquear nada no ?

Haz clic para expandir...