Snort 3.
Detecta. Analiza.
Protege.

# Validar configuración
sudo snort -c /etc/snort/snort.lua -T

# Ejecutar sensor
sudo snort -c /etc/snort/snort.lua -i eth0

# Observar tráfico con más detalle
sudo snort -i eth0 -dev

sudo nano /etc/snort/snort.lua

# Siempre validar después de editar
sudo snort -c /etc/snort/snort.lua -T

alert icmp any any -> any any (
    msg:"LAB - ICMP detectado";
    sid:1000001;
    rev:1;
)

# ICMP
alert icmp any any -> any any (msg:"LAB - ICMP detectado"; sid:1000001; rev:1;)

# HTTP
alert tcp any any -> any 80 (msg:"LAB - HTTP detectado"; sid:1000002; rev:1;)

# SSH
alert tcp any any -> any 22 (msg:"LAB - SSH detectado"; sid:1000003; rev:1;)

# DNS
alert udp any any -> any 53 (msg:"LAB - DNS detectado"; sid:1000004; rev:1;)

alert tcp any any -> any 80 (
    msg:"LAB - HTTP contiene admin";
    flow:to_server,established;
    content:"admin";
    nocase;
    sid:1000100;
    rev:1;
)

OBSERVAR → CAPTURAR → ENTENDER EL PROTOCOLO
       ↓
DEFINIR DETECCIÓN → CREAR REGLA → VALIDAR CON -T
       ↓
GENERAR TRÁFICO CONTROLADO → REVISAR ALERTA → AJUSTAR → DOCUMENTAR

sudo snort -c /etc/snort/snort.lua -i eth0

# Desde un host autorizado, generar tráfico de prueba
ping 192.168.1.20

drop icmp any any -> any any (
    msg:"LAB - ICMP bloqueado";
    sid:1000200;
    rev:1;
)

sudo ls -lah /var/log/snort/
sudo tail -f /var/log/snort/alert.fast
grep -i "icmp" /var/log/snort/*
grep -i "ssh" /var/log/snort/*
pgrep -a snort

# Verificar reglas y contadores
sudo iptables -L -n -v
sudo iptables -S

# Registrar y bloquear una IP de laboratorio
sudo iptables -A INPUT -s 192.0.2.50 -j LOG --log-prefix "IPTABLES-BLOCK: "
sudo iptables -A INPUT -s 192.0.2.50 -j DROP

# Verificar contadores
sudo iptables -L INPUT -n -v --line-numbers

# Escaneo TCP SYN hacia un servidor
alert tcp any any -> $HOME_NET any (
    msg:"LAB - posible escaneo SYN";
    flags:S;
    flow:stateless;
    detection_filter:track by_src, count 10, seconds 5;
    sid:1001001; rev:1;
)

# DNS con consulta a un dominio de laboratorio
alert udp $HOME_NET any -> any 53 (
    msg:"LAB - consulta DNS observada";
    dns.query;
    content:"example"; nocase;
    sid:1001002; rev:1;
)

# HTTP con método sensible
alert tcp any any -> $HOME_NET 80 (
    msg:"LAB - método HTTP DELETE";
    flow:to_server,established;
    content:"DELETE"; http_method;
    sid:1001003; rev:1;
)

# Patrón PCRE: cuidado con el coste
alert tcp any any -> $HOME_NET 80 (
    msg:"LAB - patrón URI sensible";
    flow:to_server,established;
    http_uri; pcre:"/\/(admin|backup|debug)/Ui";
    sid:1001004; rev:1;
)

# Contar eventos rápidamente
sudo grep -h "alert" /var/log/snort/* | wc -l

# Revisar procesos y consumo
pgrep -a snort
top -p $(pgrep -o snort)

# Registrar una captura de laboratorio
sudo tcpdump -ni eth0 -c 100 -w laboratorio.pcap