Acciones, protocolos y direcciones

Las acciones más comunes son alertar, permitir, descartar y rechazar. Un sensor puede estar en modo espejo, donde recibe una copia del tráfico y observa, o en línea, donde el tráfico pasa por él y puede ser detenido. Las acciones que descartan o rechazan solo cambian el resultado en un sensor en línea; la tabla acciones las resume para los dos motores y la tabla sensores dice cómo está conectado cada uno.

Una revisión de despliegue útil cruza dos tablas: la acción de cada regla y el modo del sensor donde está. Las reglas que piden descartar o rechazar en un sensor de espejo dan una falsa sensación de protección: en el panel se ven como «bloqueos» y no bloquean nada.

Cruza reglas_desplegadas con sensores y cuenta las reglas con acción drop o reject que están en sensores de espejo.

Las variables como $SERVIDORES se definen en la configuración del sensor. Si una regla usa un nombre que no está definido, el motor lo rechaza al cargar o, según cómo se configure la carga, deja esa regla sin efecto. En cualquiera de los dos casos, una detección que la organización cree activa no está vigilando nada.

Compara las cabeceras de la tabla cabeceras con las variables de la tabla variables.

La cabecera lleva un protocolo y dos puertos. El protocolo puede ser de transporte, como tcp o udp, o de aplicación, como http o dns, que el motor reconoce mirando el contenido. Los puertos pueden ser any, un número, una lista o un rango. Una regla con el protocolo equivocado o el puerto fuera de lo que usa el servicio compila y no coincide nunca.

Snort 3 distingue acciones que a primera vista se parecen. drop descarta el paquete actual y block lo descarta y descarta también todos los siguientes de ese flujo; reject termina la sesión con un reinicio TCP o un aviso ICMP. Elegir una u otra cambia cuántas alertas generará una conexión y cuánto trabajo deja al sensor.