¿Puede la máquina Snort de NIC dual causar amenazas que pasen por alto el firewall?

En términos generales, sí, los dispositivos de doble hogar pueden, y con frecuencia se utilizarán, para crear un punto de pivote para los atacantes.

Sin embargo, su máquina de rastreo estaría en una posición significativamente menos expuesta como tal vez un servidor en una DMZ. Por otro lado, el análisis es difícil y resoplar hace exactamente eso; No estoy seguro de proclamar que no hay vulnerabilidades en snort. Sin embargo, como describió, existe una conexión física, por lo que podría infectarse y actuar como un punto de pivote en su red.

Además de usar iptables para restringir el tráfico de red saliente de esa máquina, también puede considerar usar un diodo de datos Para garantizar ese comportamiento. Las configuraciones en esa máquina podrían cambiarse muy bien cuando el atacante obtenga la raíz; tan simple como iptables -P OUTPUT ACCEPT . Un diodo de datos aún retendría cualquier tráfico saliente.

En su forma más básica, cuando se utiliza una máquina Snort como IDS, el requisito para una 2da NIC no está a excepción de la redundancia. Cuando se usa como un IPS, el motor Snort se usa para decidir si los paquetes se eliminarán, por lo que en este caso es necesario contar con la segunda NIC.