Seguridad perimetral y detección de intrusiones — firewall (iptables) + Snort IDS

Tipo: Laboratorio defensivo (especialización en ciberseguridad — red aislada de práctica) Tema: iptables / reglas de tráfico · Snort como IDS (reglas de detección) · políticas de almacenamiento de logs Enfoque: configuración de firewall, generación y validación de reglas de detección, gestión de evidencias (logs).

Contexto: laboratorio sobre mecanismos de prevención y detección de ataques. Se trabaja sobre una red de práctica: configuración de un firewall (iptables) para el control de tráfico y un IDS (Snort) para la detección, incluyendo el diseño de políticas de logs para conservar evidencias. Las capturas/evidencias del laboratorio son parte del material didáctico privado; este documento resume la metodología y los conceptos aplicados.

1. Firewall con iptables — control de tráfico

Conceptos aplicados

• Cadenas por defecto: INPUT, OUTPUT, FORWARD.
• Política por defecto enmascarada: deny-incoming / allow-outgoing (mínima exposición).
• Reglas order-dependent: evaluadas en orden; la primera que hace match define la acción.

Pasos típicos del laboratorio

1. Establecer política por defecto DROP/DENY y abrir solo lo necesario: bash iptables -P INPUT DROP iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT iptables -A INPUT -p tcp --dport 22 -j ACCEPT # gestión iptables -A INPUT -p tcp --dport 80 -j ACCEPT # servicio web
2. Control de tráfico entrante/saliente según el servicio protegido.
3. Verificación de las reglas (iptables -L -v, conntrack) y conclusión sobre la postura del firewall.

Buenas prácticas destacadas

• Default-deny + aperturas mínimas por servicio.
• Permitir solo tráfico ESTABLISHED,RELATED de retorno.
• Orden de reglas claro (lo específico antes que lo general).

2. Snort como IDS — reglas de detección

Snort inspecciona paquetes (sniffer/IDS/IPS) y alerta con reglas del tipo:

alert tcp $EXTERNAL_NET any -> $HTTP_SERVERS 80 \
  (msg:"..."; flow:to_server,established; ...; classtype:attempted-recon; sid:...; rev:1;)

Ejercicio del laboratorio

• Diseño de reglas propias para distintas clases de ataque (reconocimiento, exploit, malware, Anomalía) y tráfico malicioso conocido (signature).
• Se escribieron reglas para: escaneo de puertos (SYN), fuerza bruta a servicio, patrones de tráfico anómalo, entre otras — y se validaron para que compilen sin errores (sintaxis y campos sid/msg/classtype correctos).

Conceptos clave de Snort

• Preprocesadores (normalización, decodificadores).
• Opciones de regla: flow, content, pcre, classtype, priority, sid, rev.
• Modos de operación: sniffer, IDS (log+alert), IPS (inline).
• Diccionario común: $EXTERNAL_NET, $HOME_NET, $HTTP_SERVERS son variables de red.

3. Políticas de almacenamiento de logs

Qué se definió

• Qué se registra: eventos de firewall + alertas de Snort + accesos al servicio.
• Dónde se guarda: estructura de directorios (p. ej. snort/log/, rotación por fecha).
• Cuánto se conserva: retención acorde a la política de la organización.
• Protección del log: integridad y trazabilidad para usar como evidencia en respuesta a incidentes.

Buenas prácticas

• Tiempo sincronizado (NTP) para correlación de eventos.
• Rotación de logs con tamaño y retención definidos.
• Respaldos de logs fuera del host (la evidencia no debe borrarse con el host comprometido).
• Acceso restringido (solo admins/audit) + códigos de integridad.

Lecciones del lab (blue team)

1. Firewall sin default-deny es una invitación: la postura por defecto define el riesgo residual.
2. Reglas de detección mal escritas == falsos negativos: validar sintaxis y probar con tráfico real antes de "desplegar a producción".
3. La detección sin logs bien manejados no sirve para respuesta a incidentes: log = evidencia; evidencia = retención + integridad + correlación.
4. Firewall (prevenir) + IDS (detectar) son complementarios: sin el segundo, un bypass del primero queda invisible.

Laboratorio en red de práctica aislada. Reglas de ejemplo genéricas; sin IPs ni datos de producción.