Descripcion Snort

UNIVERSIDAD COMPLUTENSE DE MADRID

FACULTAD DE INFORMÁTICA SISTEMAS INFORMÁTICOS CURSO 2008/2009

SISTEMA HÍBRIDO PARA LA DETECCIÓN DE CÓDIGO MALICIOSO
Jorge Argente Ferrero Raúl García González Javier Martínez Puentes

Dirigido por: Luis Javier García Villalba

Departamento de Ingeniería del Software e Inteligencia Artificial
Facultad de Informática - Universidad Complutense de MadridSistema híbrido para la detección de código malicioso

Autorización

AUTORIZACIÓN
Se autoriza a la Universidad Complutense de Madrid a utilizar y difundir con fines académicos, no comerciales y mencionando expresamente a los autores, el contenido de este documento de texto, así como del contenido del CD complementario que adjuntamos con el mismo.

Jorge Argente Ferrero

Raúl GarcíaGonzález

Javier Martínez Puentes

Dirigidos por: Luis Javier García Villalba. Departamento de Ingeniería del Software e Inteligencia Artificial. Facultad de Informática. Universidad Complutense de Madrid.

2

Sistema híbrido para la detección de código malicioso

Agradecimientos

AGRADECIMIENTOS
Queremos expresar nuestro agradecimiento a todos los colaboradores que han participadodesinteresadamente en el desarrollo de este proyecto: Nelson Javier Cárdenas Parra Grupo de Análisis, Seguridad y Sistemas (GASS) Departamento de Ingeniería del Software e Inteligencia Artificial Facultad de Informática. Universidad Complutense de Madrid.

Luis Javier García Villalba Departamento de Ingeniería del Software e Inteligencia Artificial Facultad de Informática. UniversidadComplutense de Madrid.

3

Sistema híbrido para la detección de código malicioso

Resumen

RESUMEN
Los Sistemas Detectores de Intrusos deben formar parte de la seguridad de todo tipo de redes y sistemas informáticos. Actualmente, la mayoría de estos sistemas de detección se basan en firmas para localizar ataques ya conocidos. Este trabajo propone y desarrolla un prototipo de IDS híbrido queproporciona seguridad ante ataques conocidos y ante ataques nuevos. Para ello, usa un conocido IDS basado en firmas llamado Snort y propone un sistema de creación de patrones del tráfico legítimo para detectar anomalías. El sistema está diseñado para detectar código malicioso ya que analiza todo el payload de los paquetes. Sin embargo, los resultados muestran que puede detectar otro tipo deintrusiones.

Palabras clave
Seguridad informática, Snort, firmas, anomalías, detección de intrusiones, código malicioso, sistema híbrido, patrones de comportamiento, bloomfilter, ngram.

ABSTRACT
Intrusion Detection Systems must be included in security system of any networks or computer systems. Nowadays, the great majority of detection systems are based on signatures to find already knownassaults. This paper proposes and develops a prototype of hybrid IDS that provides safety with known and new assaults. To that effect, the system uses a known IDS based on signatures called Snort and proposes a system based on usual traffic´s patterns to detect anomalies. This system is designed to detect malicious code since analyzes complete package´s payload. However, results show that it can detectanother type of intrusions.

Keywords
computer security, Snort, signatures, anomalies, intrusions detection, malicious code, hybrid system, pattern of behaviour, bloomfilter, n-gram.

4

Sistema híbrido para la detección de código malicioso

Índice

ÍNDICE
I INTRODUCCIÓN ................................................................. 10
1. CONTEXTO DEL TRABAJO................................................................ 11 2. OBJETIVOS Y EVOLUCIÓN DEL PROYECTO ....................................... 12 3. ESTRUCTURA DE LA MEMORIA ....................................................... 14

II VISIÓN GENERAL SOBRE LOS IDS ....................................... 15
1. INTRODUCCIÓN ............................................................................... 16 1.1....