Vamos a explicar paso a paso la instalación y configuración del IDS Snort3 en Pfsense para poder monitorizar las alertas. Vamos a instalar estas máquinas virtuales en VirtualBox. Pfsense es un firewall open source o código abierto, virtual basado en el sistema operativo (SO) FreeBSD. Por otra parte, Snort es un IDS e IPS también open source, que nos permite realizar un monitoreo de nuestras redes para detectar alertas y tomar determinadas acciones programadas sobre esas alertas.

Pfsense

Descargar Pfsense

Acudiremos a la página oficial de pfsense para descargar la imagen:

Utilizaremos la arquitectura AMD64 (64-bit), el instalador para ISO, para descargarlo tendremos que registrarnos.

Instalar Pfsense en VirtualBox

Elegiremos Tipo BSD y la versión compatible con nuestro ordenador.

En memoria habría que meterle a partir de 1GB de RAM.

El tipo de archivo de disco duro elegiremos VDI, con un tipo de almacenamiento de reservado dinámico.

Para el tamaño del disco pondremos 8GB.

Configurar Red Pfsense

Configuraremos dos adaptadores de red, uno en modo puente y otro de red interna. Más tarde las configuraremos.

Adaptador 1 > Adaptador Puente

Adaptador 2 > Red interna

Tendremos que configurar dos redes: una WAN y una LAN. 
Una vez que hayamos cargado el Pfsense, encontramos esta pantalla.

Introducimos el numero dos para establecer las direcciones IP de las interfaces.
A continuación, nos indica si queremos configurar la red WAN o LAN. Primero vamos a configurar la red WAN.  

Configuración WAN

Nos pregunta el numero de interfaces que queremos configurar: 1

Configurar la dirección IPv4 vía DHCP: n

Introducimos la dirección IP que queremos que tenga nuestra red WAN.

Lo siguiente que nos pide es la máscara de red. Introducimos 24.
La dirección Gateway será nuestro router: 192.168.1.1

Configurar DHCP para IPv6: n

Por último, también le decimos que no en la opción de utilizar el protocolo HTTP como configurador de red.

Configuración LAN

Volveríamos a la pantalla inicial una vez terminado de configurar la red WAN.
En este caso volvemos a elegir la opción 2 para configurar direcciones IPs.

Elegiríamos la opción 2 para redes LAN
La dirección IP que vamos a escoger en este ejemplo será la 192.168.55.1
Elegiremos una máscara de red de 29 en nuestro caso, para tener 6 host.

Lo siguiente será configurar el servidor DHCP para IPv4
Indicamos el rango de red para que empiece en 192.168.55.2 y termine en 192.168.55.4.
Tampoco querremos configurar HTTP, por lo que obtendremos esta pantalla:

Ya hemos completado el registro de Pfsense. Ahora tendremos que configurar Snort a través del servicio web de Pfsense. 

Conexión de red Máquina Virtual

Llegados a este punto, necesitaremos tener instalada un maquina virtual, da igual el tipo. En mi caso, tengo instalado un Xubuntu, ya que es una distribución ligera de Ubuntu. Podéis tener un Windows o cualquier Linux. 

En el apartado de Configuración de la Máquina Virtual, configuraremos la red para que esta máquina se conecte a la red interna que creamos con la máquina Pfsense. 

Conectarse a Pfsense vía Web

Abrimos nuestra máquina virtual y lo primero que hacemos es comprobar si está bien configurada la red. Abrimos el terminal e introducimos ifconfig. Podemos comprobar que nuestra maquina está conectada a la red con una IP 192.168.55.3. 
Lo siguiente es conectarse a Pfsense a través del navegador. Para ello nos conectamos con https://192.168.55.1 
El usuario admin y contraseña por defecto es pfsense.

Lo siguiente que tendremos que hacer es configurar una serie de opciones del Pfsense.
Ponemos el nombre para el host y el dominio y los servidores DNS que en mi caso serán 8.8.8.8 para el servidor primario y 8.8.4.4 para el secundario. 

La opción del servidor NTP la podemos dejar por defecto y en la zona horaria elegiremos la que nos corresponde. El resto de las opciones las dejaremos como están por defecto. Por último, cambiaremos las contraseñas y ya habremos terminado por configurar el Pfsense.

SNORT3

Instalar y configurar SNort3 en Pfsense

Para instalar Snort3, tendremos que irnos a la barra de opciones de la parte de arriba de la página y seleccionar System y en el desplegable, seleccionar Package Manager. 

Una vez aquí, acudimos a la opción de Available Packages y buscamos Snort. Una vez instalados podemos comprobar en Installed Packages que esté instalado. 

En este punto con Snort3 instalado, navegaremos a Services/Snort y añadiremos una interfaz tipo WAN.

Antes de configurar la interfaz, haremos una serie de cambios en la opción de Goblal Settings. En este apartado elegiremos las opciones de:

• Enable Snort VRT. Para activar esta opción, será necesario tener una cuenta de Snort y obtener el OinkCode. Esto es completamente gratuito. 

• Enable Snort GLPv2. Esta opción sirve para descargarse las reglas oficiales de Snort.
• Enable ET Open. Para descargar las amenazas más actuales. 

• Enable OpenAppID y Enable OpenAppID RULES: Sirve para obtener alerta de las aplicaciones que estén instaladas.

Elegimos el periodo de actualización de las reglas y el tiempo de bloqueo de los hosts. En mi caso he elegido 4 días y 1 hora respectivamente. 

Importante, Guardamos!!

Para configurar la interfaz, teclearemos en el botón de editar en la columna de Actions. Vamos a realizar una configuración muy simple.

En la pestaña que se nos abre en la opción de WAN Settings, en la parte de Detection .

Performance Settings añadiremos la opción de Search Optimize.

Es importante que después de cada cambio guardemos la configuración haciendo click en el botón Save.
Por último solo nos queda elegir las reglas que queremos que Snort aplique.
Acudiremos a WAN Categories

En este punto, tenemos que hacer dos acciones aplicar la opción de Resolve Flowbits. En la parte de abajo, vamos a elegir todas las reglas para que Snort las aplique.

En próximos artículos explicaremos más a fondo las reglas, como añadir o quitar reglas y como tratar las alertas que genera Snort.
Ya tenemos Snort instalado y configurado. Vamos a la ventana de interfaces para iniciar Snort.

Para ver las alertas que está generando Snort, navegamos a la parte de Alertas y comprobamos las alertas que esté generando.  

Como podemos comprobar, las alertas de la imagen se refieren a alertas generadas por tráfico https. En futuros artículos comentaremos las diferentes opciones que hay para la selección de las alertas y de que forma podemos monitorearlas para tener un control seguro de la red.