pregunta básica sobre cómo funciona un IDS

4

¿La ubicación de un sensor de detección de intrusiones (o análisis de paquetes) en una red interna afectará si la IP de origen del host externo (suponiendo que el tráfico TCP entrante) es recuperable de un paquete?

Dicho de otra manera, ¿existe un escenario de implementación común en el que la ubicación del sensor significaría ver constantemente una IP interna como la fuente en lugar del host externo real desde el que se originó el tráfico?

(sí, sé cómo se obtiene la atribución arriesgada, me refiero al último host de envío).

    
pregunta PurpleDragon 01.03.2016 - 21:01
fuente

1 respuesta

2

Depende de cómo esté configurada su red; pero, por lo general, la IP no se elimina y los encabezados de los paquetes contienen el origen y el destino originales.

En general, un conmutador central se produce después de un enrutador; es probable que el enrutador de una red empresarial realice muchas traducciones de NAT. En cuyo caso, puede ver que se hace referencia a la IP de NAT de un paquete dado (por ejemplo, en lugar de alguna ip pública, ve 192.168.x.x). Por lo tanto, es probable que vea la IP interna como una fuente de todo lo que salga, porque esa es la única IP que el dispositivo de red conoce: la IP externa es aplicada por el enrutador que hace NAT.

Sin embargo, a menos que esté realizando una inspección y cambio de nivel de paquete extraño (por ejemplo, Cisco), los encabezados de los paquetes deben permanecer iguales e indicar la IP de origen y destino de los puntos finales, no de ningún dispositivo de red intermedio que llevan el trafico. Esos dispositivos solo tienen IP de administración, y no tienden a hacerlo (aunque esto puede suceder en configuraciones sofisticadas de conmutación de capa 3 que no son comunes) alteran los encabezados de los paquetes.

    
respondido por el Herringbone Cat 01.03.2016 - 21:54
fuente

Lea otras preguntas en las etiquetas