Suricata: detección de intrusiones en la red (IDS/IPS)
Si Wazuh mira lo que pasa dentro de cada equipo, Suricata mira lo que viaja por el cable. Analiza el tráfico de red en tiempo real y avisa —o corta, si se configura así— cuando una comunicación encaja con un patrón de ataque conocido o simplemente no tiene sentido que exista.
Lo tenemos en producción como parte de nuestra monitorización de seguridad, correlacionado con el resto de fuentes y vigilado 24 horas con guardia.
Qué ve en el tráfico
- Comunicación con servidores de control. Un equipo infectado tiene que llamar a casa. Ese es el momento en que se delata, aunque el fichero que lo infectó haya pasado inadvertido para el antivirus.
- Exploración interna. Un portátil que de pronto empieza a preguntar por puertos de todas las máquinas de la red está haciendo reconocimiento, y eso no lo hace un usuario.
- Explotación de vulnerabilidades conocidas. Intentos contra servicios expuestos, con las firmas actualizadas a diario.
- Salidas de datos anómalas. Volúmenes de subida que no corresponden con la actividad habitual de esa máquina o de esa hora.
- Túneles y evasión. Tráfico que intenta esconderse dentro de protocolos legítimos, típicamente DNS.
IDS o IPS: detectar o bloquear
Suricata puede trabajar de dos maneras y la elección no es menor.
En modo IDS se coloca en paralelo, recibe una copia del tráfico y avisa. No puede romper nada porque no está en el camino. Es como se empieza siempre.
En modo IPS se coloca en línea y además de detectar corta la comunicación. Protege más, pero un falso positivo deja de ser una alerta molesta y pasa a ser una aplicación de la empresa que no funciona. Por eso se pasa a IPS solo cuando las reglas ya están afinadas, y aun así de forma selectiva: se bloquea lo que se tiene la certeza de que es malo y se mantiene en aviso el resto.
Cómo encaja con el cortafuegos
Es la pregunta habitual, porque muchos cortafuegos ya incorporan IDS. Y es cierto: el cortafuegos decide qué conexiones se permiten y muchos analizan además su contenido.
La diferencia está en el alcance y en la retención. El cortafuegos vigila el perímetro, es decir, lo que entra y sale; una vez que un atacante está dentro, el tráfico entre equipos de la misma red no pasa por él. Suricata puede mirar también ese tráfico interno, que es donde se ve el movimiento lateral. Y guarda los metadatos del tráfico durante meses, mientras que el cortafuegos suele rotar sus registros en días, justo el histórico que hace falta cuando hay que reconstruir qué ocurrió y desde cuándo.
Preguntas frecuentes
¿Puede leer el tráfico cifrado?
El contenido no, salvo que se descifre expresamente, y eso rara vez compensa. Pero no hace falta: los metadatos —con quién se habla, qué certificado se presenta, cuánto dura y cuánto pesa la conversación— ya delatan la mayoría de las comunicaciones maliciosas.
¿Hace falta cambiar la electrónica de red?
En modo IDS normalmente no: basta con un puerto espejo en el switch. Para modo IPS sí hay que meterlo en línea y eso requiere planificación.
¿Genera muchas alertas?
De inicio, muchas. Los conjuntos de reglas públicos son generosos y buena parte no aplica a cada empresa. El ajuste de los primeros meses es lo que separa un sistema útil de un panel que nadie mira.
¿Sirve en una empresa pequeña?
Tiene más sentido cuanto más haya que perder: servidores propios, datos de clientes, acceso remoto. En una oficina de cinco personas con todo en la nube, el esfuerzo se aprovecha mejor en el resto de capas.
Miremos qué está saliendo de su red
Una escucha de unos días suele bastar para enseñar con qué está hablando su red sin que nadie lo supiera. Llámenos al 911 599 883 o escríbanos desde el formulario de contacto.
Forma parte de nuestra monitorización de seguridad y SIEM.