Blue Team / Arsenal Defensivo
03 Red · IDS/IPS/NSM
IDS/IPS y monitorización de red
La red es el campo de batalla. IDS/IPS y NSM (Network Security Monitoring) vigilan el tráfico para cazar escaneos, exploits, C2 y exfiltración. Aquí domas Suricata, Snort y Zeek — y los pruebas de verdad sobre una captura con tu Kali.
🔐IDS vs IPS vs NSM
| IDS | Intrusion Detection: ve el tráfico y ALERTA (no corta). Snort/Suricata en modo IDS. |
| IPS | Intrusion Prevention: además BLOQUEA en línea el tráfico malicioso. |
| NSM | Network Security Monitoring: registra METADATOS de todo (quién habló con quién, qué ficheros, qué DNS) para investigar después. Eso es Zeek. |
| DPI | Deep Packet Inspection: inspección profunda del contenido del paquete, no solo cabeceras. |
📊Quién es quién
| Suricata | IDS/IPS moderno, multinúcleo, reglas compatibles con Snort + salida tipo NSM (EVE JSON). El que usarás. |
| Snort | el IDS clásico (Cisco). Reglas 'Snort' son el estándar que Suricata también entiende. |
| Zeek (antes Bro) | NSM: no 'alerta', genera LOGS riquísimos (conn, dns, http, ssl, files) para hunting y forense. |
| RITA | analiza logs de Zeek para detectar beaconing (C2) y tunneling DNS por análisis estadístico. |
| Maltrail | detección de tráfico malicioso por listas negras + heurística. Fácil de montar. |
| Wireshark/tshark | el bisturí: inspección paquete a paquete (ya lo tienes en tu Kali). |
🔧Lab (en tu Kali): Suricata sobre una captura
Tu Kali ya trae Suricata y tshark. Caza un ataque en un pcap sin montar nada:
1
sudo suricata-update
descarga el ruleset ET Open (reglas de la comunidad).
2
suricata -r captura.pcap -l ./out
procesa el pcap con las reglas; vuelca resultados en ./out.
3
cat out/fast.log
las ALERTAS (firma que saltó, IPs, severidad).
4
jq -r .event_type out/eve.json | sort | uniq -c
Suricata ya genera logs tipo NSM en eve.json: flow, dns, http, tls... (lo mismo que Zeek).
5
tshark -r captura.pcap -q -z conv,tcp
conversaciones: quién habló con quién y cuánto, estilo NSM, con tshark.
Usa el captura.pcap de la Fase 2 Blue: verás saltar las reglas del escaneo, el C2 y la exfiltración.
⚠Fallos típicos y solución
Suricata no genera ninguna alerta
no actualizaste reglas (
suricata-update) o el pcap no contiene nada que matchee; prueba con tráfico real de ataque.IPS en línea tira la red
nunca pongas IPS en bloqueo sin fase de tuning en modo alerta; un falso positivo corta producción.
Zeek no ve tráfico cifrado por dentro
normal: TLS va cifrado. Usa metadatos (SNI, JA3, tamaños, timing) para detectar C2 sin descifrar.
Pierde paquetes a alto tráfico
activa AF_PACKET multinúcleo y sube buffers; un IDS que descarta paquetes tiene puntos ciegos.
💡Trucos
- JA3/JA3S y SNI para fichar clientes TLS maliciosos sin romper el cifrado.
- RITA sobre logs de Zeek caza beacons de C2 por su regularidad (lo que a ojo no ves).
- Coloca el sensor en un SPAN/TAP con visibilidad de norte-sur Y este-oeste.
🎯🎯 Lab puntuable: caza en el tráfico
Ahora tú. Descarga la captura, pásala por Suricata y tshark en tu Kali y cada hallazgo es una flag: el escaneo, la herramienta delatada por su User-Agent, el latido del C2 y la flag maestra escondida en la exfiltración. 4 retos, 105 puntos.
⚑ Recuerda enviar la flag. Cuando saques la FLAG, envíala en su reto para que cuente en tu progreso y en el marcador. Si no la envías, no puntúa.
Ir a los retos🔎 No memorices comandos. Ten el Arsenal abierto en otra pestaña y busca ahí el comando exacto cuando lo necesites. Entiende el POR QUÉ aquí; el COMANDO lo copias del Arsenal.
Abrir Arsenal