Como usar o Suricata IDS para monitorar toda a rede?

Question

Eu tenho os seguintes 3 PCs conectados a um roteador via Ethernet:

PC1 - 192.168.1.101 (Ubuntu Linux)

PC2 - 192.168.1.100 (Windows)

PC3 - 192.168.1.1 (Windows)

Todos os PCs podem pingar uns aos outros.

O PC1 possui o Suricata instalado no modo IDS. Tem uma regra de ping simples incluída:

alert icmp any any -> any any (msg:"PING detected"; sid:2; rev:1;)

Eu inicio o Suricata inserindo o seguinte comando no PC1:

suricata -c /etc/suricata/suricata.yaml -i eth3

eth3 é a principal interface Ethernet no PC1.

A regra de ping é disparada quando faço ping no PC1 a partir do PC2 e PC3, e a mensagem apropriada é gravada no arquivo de log. Esta regra também é acionada quando eu faço ping no PC2 e no PC3 do PC1.

No entanto, esta regra não é acionada quando eu faço ping no PC2 do PC3 e vice-versa. Suricata escuta apenas na interface eth3 no PC1. O tráfego não passa pelo PC1 quando faço ping no PC2 a partir do PC3, apesar de todos os 3 PCs estarem na mesma rede.

É possível configurar o Suricata para monitorar toda a rede e não apenas o PC em que está instalado?

    

Answer 1

Os comutadores Ethernet não transmitem todo o tráfego para todas as portas.

Uma troca unicast entre dois hosts em duas portas de switch separadas não será vista por um host em uma terceira porta de switch em condições normais de operação.

Switches gerenciados mais caros, com funções corporativas como suporte de VLAN, geralmente têm recursos de espelhamento de porta, que servem como um utilitário de escuta que duplica todo o tráfego enviado ou recebido em qualquer porta para uma segunda porta designada. Dependendo da marca e do modelo do switch, pode haver ressalvas para essa função que podem tornar a porta designada menos funcional, ou seja: somente capaz de receber tráfego, não de enviar, enquanto o espelhamento estiver ativo.

Outra ressalva que é provável em todos, exceto nos switches mais poderosos e caros, é que apenas uma porta pode ser espelhada ao mesmo tempo. Para uma rede comutada de 3 nós, isso não é um problema, como se uma ou outra porta fosse espelhada, o destino no qual o host na porta não monitorada pode se comunicar é monitorado. Uma rede de 4 nós, no entanto, deixaria duas portas não monitoradas.

Em uma situação de Gateway de Internet, o espelhamento de porta seria ativado entre o roteador e o comutador, e assim capturaria todo o tráfego de origem da Internet, mas não todo o tráfego de LAN.

Podem existir switches que podem espelhar toda a VLAN ou todo o tráfego de backplane para uma porta designada, mas não estou familiarizado com essa funcionalidade.