Alienvault ossim

I NFORM E ALIENVAULT OSSIM
Una breve descripción de la herramienta e introducción a su uso

Samuel Alfredo Chávez, 07351 Mayo 2011

Universidad del V de Guatemala
a!e

1

TABLA DE CONTENIDO
Introducción
Observaciones sobre el documento

3
3

Definiciones importantes
Capa de Link
Address Resolution Protocol (ARP)
TCP/IP Stack Fingerprint
AlienV ault OSSIM
DivisiónAbstracta de OSSIM

4
4 4 4 4 5

OSSIM: Funcionamiento
Proceso

7
8

Cierre
Ventajas
Desventajas
Conclusiones
Bibliografía

9
9 9 10 10

Universidad del V de Guatemala
a!e

2

INTRODUCCIÓN
AlienVault OSSIM es una herramienta de software cuyo principal objetivo es la seguridad dentro de una red. OSSIM se presenta como una distribución de Linux que compila varias de lasherramientas (software experto) necesarias para el control y manejo de una red computacional. Presenta varias ventajas, entre ellas la centralización, soporte de auditoría legal y correlación entre herramientas involucradas. Una de las características más importantes de OSSIM es SIEM. SIEM es la parte "inteligente" de OSSIM, permite el aprendizaje a través del uso de la red y de técnicas de Minería deDatos.

Observaciones sobre el documento
A continuación se presenta un esquema que describe a OSSIM. Primero incluyo una sección dedicada a las características del software y su división principal. Luego incluyo una sección que trata el funcionamiento básico de OSSIM, sus partes y como se relacionan entre ellas. Finalmente termino con una discusión breve sobre las aplicaciones de OSSIM,ventajas y desventajas.

Universidad del V de Guatemala
a!e

3

D EFINICIO NES IMPORTANTES
Capa de Link
Protocolos que operan a nivel de conexión. Se utiliza para asegurar la conexión por pares de elementos en un red. Entre sus funciones está la detección de errores, encapsulación de paquetes en frames, etcétera.

Address Resolution Protocol (ARP)
Protocolo de red que permite detectar ladirección de la MAC Address de los dispositivos a los que se está conectado. Opera a nivel de la capa de Link, y es esencial para las tareas de ruteo fuera de la red local. Su especificación se dio en 1982.

TCP/IP Stack Fingerprint
Colección de datos referentes a la configuración de los dispositivos conectados en la red. Con estos datos es posible inferir el Sistema Operativo del objetivo.AlienVault OSSIM
Open Source Secutirty Information Management, es un sistema de soporte a la gerencia seguridad informática. Categorizamos a OSSIM dentro de las herramientas SIEM (Secutirty and Event Management). Asegura un seguimiento centralizado de los procesos en la red de una organización. Sus principales funcionalidades son de IDS e IPS, su público objetivo son los administradores de red.Entre sus características más importantes encontramos: 1. 2. 3. 4. 5. 6. 7. 8. Respuesta / Solución a conflictos detectados Detección de amenazas conocidas. Detección de actividad anómala. Auditoría de Red Análisis de Red Log Análisis de Seguridad Orientado por los Riesgos Reportes Ejecutivos

Universidad del V de Guatemala
a!e

4

9.

Arquitectura escalable y de alto desempeño (basada enLinux)

División Abstracta de OSSIM
Desde una perspectiva abstracta, podemos dividir a OSSIM en dos secciones. A continuación presento una descripción de ambas: So%ware de Servidor: es una distribución del sistema operativo Linux que necesita estar conectado a la red que se va a monitorear. Además necesita una IP fija para poder acceder a su información. Como parte de la distribución estándar deOSSIM, se instala una serie de programas para configurar, monitorear, y responder ante ataques sobre la red. 1. Arpwatch: es una herramienta que se dedica al monitoreo del Protocolo de Resolución de Direcciones (ARP) de la capa física en TCP/IP. Genera un log de pares de conecciones en el que se especifica la hora de la conexión, IPs y direcciones MAC. P0f: es una herramienta para realizar TCP/IP...