Alertas de firmas y su contexto

2 tareas · 40 min · Principiante

0 de 2 · 0%

Suricata evalúa firmas de reglas (signatures) en tiempo real generando eventos en formato eve.json. Sin embargo, una alerta aislada (por ejemplo, 'ET POLICY Suspicious User-Agent') suele ser un falso positivo si no se acompaña del contexto de la sesión: ¿cuántos bytes se transfirieron?, ¿se produjo una sesión persistente?, ¿el host contactó otros nodos tras la alerta? La unión de Suricata y Zeek aporta este contexto integral.

Responde para continuar

¿Por qué un cazador de amenazas debe contextualizar una alerta de firma de Suricata con los registros de Zeek?

Porque las alertas de Suricata nunca contienen direcciones IP ni puertos de origen y destino Para forzar que el IDS elimine las reglas que producen alertas en servidores de desarrollo Para convertir automáticamente todas las alertas en reglas de cortafuegos de bloqueo inmediato Para verificar el comportamiento real del flujo, volumen transferido y duración antes de calificar la severidad

Ver pista de ayuda

La telemetría contextual valida si la alerta de firma representa una amenaza real o tráfico benigno.

En la tabla zeek_conn, comprueba la dirección IP origen (orig_h) que mantuvo la sesión hacia telemetry-cdn.xyz (198.51.100.89).

Esta tarea se hace en el laboratorio

Una consola para consultar la base de datos, aquí en la página. No instalas nada y no puedes romper nada.

Conectando con la base…

Responde para continuar

¿Qué dirección IP origen (orig_h) figura asociada a la conexión C9u8v7w6x5?

Ver pista de ayuda

Observa el valor de orig_h en la primera fila de zeek_conn.

Inicia sesión para registrar tus puntos y progreso en el ranking.

Entrar · Registrarse

Conectando con la base…

Consola de Análisis de Tráfico de Red · Zeek Logs & Suricata EVE

Zeek Network Security Monitor / Suricata IDS Engine

Tablas

zeek_conn

uid
orig_h
orig_p
resp_h
resp_p
proto
duration
orig_bytes
resp_bytes
conn_state

zeek_dns

uid
orig_h
resp_h
query
qtype_name
answers

zeek_ssl

uid
orig_h
resp_h
server_name
ja3
ja4

suricata_alerts

timestamp
src_ip
dest_ip
signature
severity
action

Ctrl + Enter

Consola de consultas v1.0 · build b77233

1 La integración entre alertas basadas en reglas y telemetría de flujo

2 Dirección IP origen de la conexión investigada Lab

Whoami-Labs Pro utiliza cookies