---
# System prepended metadata

title: IDS и IPS  test системы  актуально на апрель 2021

---

# IDS и IPS  test системы  актуально на апрель 2021

Схема для работы нужна такая:
![](https://i.imgur.com/F1wNwis.png)

С нашей win7-машинки будем подключаться к FW2. 
FW-ы нужно обновить, т.к. IDS и IPS системы рассчитаны на последние версии FW-лов. Запускаем FW2. 
После загрузки видим, что у нас версия FW2 – 2.4.4, а нужна минимум 2.4.5
![](https://i.imgur.com/ZSQILQo.png)
Для обновления входим в консоль  выбрав пункт 8 и пишем там: pfSense-upgrade. Он обновит данные и все, что необходимо из репозитория. Будет вопрос ![](https://i.imgur.com/ZsxL1be.png) - Y (хотите ли обновить пакет) 

В процессе он перезагрузится несколько раз, установит всё необходимое и мы получим 
обновленный pfSense 

**IDS и IPS системы  - теория** 

У нас есть решение в виде сетевого экрана – пакет-FW  (IP-paket-FW), так называемый нетворк-FW (сетевой FW) – для того, чтобы можно было фильтровать определенного рода сессии
Предположим, что у нас есть два интерфейса (черные квадратики) – WAN и LAN

FW pfSensa смотрит только на input трафик на обоих интерфейсах. Ему не нужно смотреть на output трафик – он его спокойно разрешает: ему не важно куда он движется, как он движется, что с ним происходит. Основной принцип – если трафик зашел в pfSense – значит дальше он выйдет! И не нужно его контролировать: как фэйс контроль в клубах – только разрешение на вход требуется.

Между интерфейсами есть форвад-трафик (форвардинг) – он вообще никак не контролируется

![](https://i.imgur.com/TG03hBB.png) ![](https://i.imgur.com/tT7loam.png)


(на виндом FW output –трафик тоже смотрится)

FW – это устройство на уровне L4 – на транспортном. 
На  уровне L4 можно контролировать только это: 
 - source IP
- destination IP
- протокол
- порты 

Системы IDS, IPS – это тот же самый FW – та же самая железка, таким же образом работает, таким же самым образом контролирует. Но, внутри появляется новый движочек:
IDS/IPS – это система, которая начинает смотреть на трафик, проходящий через нее.

IDS-система – система, которая только обнаруживает: т.е. увидела трафик и кричит «ALARM, ALARM, печаль-беда» и ничего не делает

IPS- система – система, которая кричит «Печаль-беда», а потом еще и блочит. 

Но у каждой системы есть свои ++ и  --
Например, в IPS можно спокойно залочить себя же сканированием (начнем сканировать -> система распознает, залочит и дальше мы не сможем ничего делать – даже зайти с этой же машинки на FW и отключить). Останется только сбросить настройки FW ( а если настраивали лет 50? + а если еще и бэкапов нет?? )

   Например: идет трафик внутри инф-ры из LANa в WAN  и начинает система смотреть внутрь трафика
![](https://i.imgur.com/c1NSRKu.png)
Теперь посмотрим как будет выглядеть IP-пакет: у него заголовок head, data, crc – сумма
В заголовке: destin IP/ sours IP – адрес откуда /куда отправлено ; возможно есть протокол, чтобы посмотреть на уровни L4  и есть данные, связанные с meta-данными 
++ сама DATA – содержимое для передачи

FW может смотреть только на первые две части (голубые):
![](https://i.imgur.com/syrUgkw.png)
Но есть системы, которые могут смотреть абсолютно на весь IP-пакет:
![](https://i.imgur.com/f29aOmk.png)

При анализе IP-пакета «вычисляется» аномальное поведение – сравнивается с неким эталоном: но тут есть момент – если сравнивать с нормальным «правильным» поведением – это будет огромный список. Поэтому - легче проводить сравнение с «неправильным» (сравнение с вредоносной частью, как делают антивирусы - некая сигнатура – кусочек вредоносного кода) В нашем случае мы можем выделить кусочек вредоносного трафика.
  И, если этот кусочек будет обнаружен и опознан в нашем трафике, мы сможем сказать, что трафик – вредоносный.

Возьмем кусочек трафика:
![](https://i.imgur.com/akSuNXv.png)
И увидим, что здесь есть фрейм, и пакеты, и определенные 10-ричные значения. Мы можем взять кусочек трафика (как образец сигнатуры) ![](https://i.imgur.com/ckTQGrl.png)
и сказать: «что если есть такая последовательность данных, то трафик – вредоносный». 
Вопрос: с чем нам сравнивать?? Где взять такие «образцы»? У производителей оборудования и антивирусов есть свои базы с вредоносными кодами и сигнатурами. Но мы имеем дело не с кодом, а с трафиком. Есть опенсорсные решения, есть решения, связанные с производителем оборудования (которые делают IDS/IPS- системы ) – они предоставляют части вредоносного трафика – это так называемые БАЗЫ ПРАВИЛ. Это не сигнатуры, это правила! Таких ПРАВИЛ для IDS/IPS- систем много. Будем настраивать эти правила.

FW2 обновился – видим версия 2.4.5
![](https://i.imgur.com/VcGp2KQ.png)

Пока система работает как обычный FW. Сделаем из него Next Generation FW

Открываем win7-машинку и коннектимся к нашему FW2. 

Логинимся в pfSense. Фактически у нас здесь сейчас чистый  FW – наша задача: сделать из него систему, которая будет детектить (а возможно и предотвращать) вредоносный трафик.

Нам придется настроить систему и попытаться ее атаковать, чтобы посмотреть как она будет работать. Атаковать мы будем сначала сканированием (просканируем изнутри через кали-линекс)

Переходим в package-менеджер:
![](https://i.imgur.com/86Sns4N.png) будем ставить доп.пакет на avaliable packages.

Имеется большое количество пакетов для установки: можно выбрать нужный, + есть поиск по названию:
![](https://i.imgur.com/pJbVN4R.png)
На FW2 ставим: сурикату
![](https://i.imgur.com/GmNtnch.png) далее устанавливаем.

Заходим на FW1 и переходим в shell (пункт 8) - обновляем первый FW
Возвращаемся к FW2, и переходим к настройке системы.
![](https://i.imgur.com/VTfQdh0.png)
![](https://i.imgur.com/SapBAV9.png)
Сначала делаются Глобал настройки, потом апдейты и только потом уже – интерфейсы. (сначала задают параметры – глобал- откуда брать обновления; потом уже обновляем базы при необходимости и только после этого добавляем интерфейс)
У сурикаты есть база, откуда она может брать правила. Базы в виде - install ETOpen Emerging Treats rules (актуальны здесь и сейчас, PRO-версия платная)
И есть еще правила install snort rules но по подходят только для версии 2.9 (для версии 3 – уже нет) 
**snort oinkmaster cod** - регистрационный код для авторизации на сайте, чтобы использовать правила

Регистрация по  голубой строчке: ![](https://i.imgur.com/QH7HBjb.png)
 Открываем и регистрируемся на сайте Snort (если сайт не грузится – можно автоматически получить днс, или прописать 8.8.8.8 в настройках интернета)

При регистрации не ставить нижние галочки – иначе заспамят:
![](https://i.imgur.com/gVhCzgT.png)

После регистрации, заходим на акк и выбираем oinkcode:
![](https://i.imgur.com/gy3NuSI.png)
(если одновременно обновляться с одного и того же оинкода на несколько пользаков – акк на время уходит в бан – банят всех участников)
Копируем код и вставляем в настройки в соответствующее поле: ![](https://i.imgur.com/vFEP7Vf.png)
И еще нужен файлик: snort rules filename - Это нужно имя файла – вот такое, например: ![](https://i.imgur.com/JS2lHfq.png)
Имя можно взять на сайте снорта: переходим в  downloads
Здесь есть такая штучка, как Snort v2.9 – 
![](https://i.imgur.com/8AYBeAK.png)

В списке копируем последнюю строчку с названием:
![](https://i.imgur.com/TBKr9i8.png)
И вставляем ее в соответствующее поле в настройках сурикаты:
![](https://i.imgur.com/CrAuX1Q.png)
У сурикаты включаем бесплатные правила и правила снорт:
![](https://i.imgur.com/4V9sE8r.png)
Нужно будет указать, что есть такая версия как:  комьюнити правила
![](https://i.imgur.com/L27bpmw.png) ![](https://i.imgur.com/iE3erBE.png) - чтобы старые правила (недействительные ) скрывал
![](https://i.imgur.com/Miv4EL3.png)

Теперь смотрим ниже: 

Интервал апдейта: можно выбрать 1 день и время для обновления
![](https://i.imgur.com/BjQgG8C.png)
![](https://i.imgur.com/3OBObU1.png) - когда обновились правила – он обновляем их «на лету» и не нужно перезапускать сервис
![](https://i.imgur.com/BWHnV4F.png) - можно к сурикате привязать гео-апдейт – будет показывать с какой стороны идет атака

Лицензионный ключ: 
![](https://i.imgur.com/snA9Bcf.png) внести в pfSense (копипаст тут не работает)
Итог:
![](https://i.imgur.com/mNpfDuk.png)
Далее, есть еще одна важная вещь: Включить запись системных логов, чтобы можно было с ними работать и отправлять
![](https://i.imgur.com/f9bhcSc.png)

Сохраняем и переходим в updates и нажимаем – апдейт:
![](https://i.imgur.com/FigcKCk.png)
После установки обновления сурикаты – переходим в interfaces
![](https://i.imgur.com/2hmor2q.png)

Как работают интерфейсы

Система IDS/IPS может слушать трафик либо на LAN-интерфейсе, либо на WAN-интерфейсе. Это нужно смотреть куда идет у нас тот или иной трафик ( с какой на какую сеть)  IDS/IPS будет фильтровать, или обрабатывать, либо еще что-то с ним делать. Правила как раз и сделаны, чтобы просматривать: где, на каком интерфейсе вся эта штука работает

У нас есть:
![](https://i.imgur.com/QFUlT2D.png) - интерфейс е1 – на самом деле не е1, а е1/1, е1/2, е1/3 и т.д. (внутренние интерфейсы). Когда на внутренний интерфейс ставится какой-то анализатор трафика (снорт или суриката), а злоумышленник сканирует всё, что внутри на уровне L2? То наша система покажет нам, что кто-то пытался нас атаковать. Но обнаружить мы сможем это не сразу, потому что пропускная способность интернета примерно 300мбит/сек – а системе нужно обработать каждый пакетик трафика, а это требует много ресурсов и скорость фактически должна сильно падать. Этого не происходит, потому что процесс сравнения происходит «выборочно». В правилах для любой IDS/IPS системы (суриката, снорт или другая) есть определенного рода фильтры: сначала идет фильтр, а потом то, по чему мы это все будем сравнивать

Настраиваем интерфейсы:
Добавляем интерфейс (кнопка add) вписываем LAN:
![](https://i.imgur.com/RYMkwKQ.png)

Далее настройки, связанные с логированием: они нужны, чтобы понять, что данный конкретный лог (когда к вам приходит список логов) относится к безопасности системы. Можно выставить приоритетные логи – со стороны сурикаты есть смысл выбрать для них название – ALERT и раздел –  SECURITY

![](https://i.imgur.com/8ma0Pv2.png) - суриката может извлекать из трафика определенного рода объекты (например – передаете картинку и суриката может эту картинку спокойно вытащить) 

Получаем:
![](https://i.imgur.com/XSjEreU.png)
eve output setting -корневая фишка сурикаты: мы можем со стороны сурикаты напрямую без разного преобразования и парсинга логов, отправлять сразу в Json ( в систему мониторинга безопасности системы).  В нашем случае, нам это пока не нужно, потому что у нас нет внешнего сервера, на который нужно отправлять данные

![](https://i.imgur.com/AghI5u8.png) здесь мы можем сделать блок-offenders – фактически включить IPS – режим 

![](https://i.imgur.com/oBsejtj.png) - тюнинг производительность. Трогать не рекомендуется, только в редких случаях

![](https://i.imgur.com/nkbs6fl.png)

![](https://i.imgur.com/g2Psb41.png) - есть определения у любой IDS/IPS системы, как home и Network – т.е. какая твоя сеть внутренняя и какая External. Зачем это?  - в правилах есть особенность, что там указывается home network и external network (либо все сети, либо же  home network и external) – бывает такое, что экплойт работает снаружи, и смысла проверять трафик внутри нет… и IDS/IPS системы и работают так, чтобы не весь трафик сканировать, а только определенную его часть. И эта часть и является элементом фильтрации. 
  Здесь мы указываем оба по дефолту, но всегда можно посмотреть какие у нас есть (выбор по стрелке) –
![](https://i.imgur.com/dqN6kYx.png)   ![](https://i.imgur.com/NcfP2Wu.png)
Итоговая: 
![](https://i.imgur.com/KejlMEy.png)
![](https://i.imgur.com/PeU3Int.png)
СОХРАНЯЕМ.
Получаем такие настройки интерфейсов:
![](https://i.imgur.com/GMjoVGu.png)
![](https://i.imgur.com/KfbQVh1.png)
![](https://i.imgur.com/8Kyi8V5.png)
![](https://i.imgur.com/s5JSr4e.png)
![](https://i.imgur.com/HdtIJ08.png)
![](https://i.imgur.com/n5F3Exp.png)

Теперь посмотрим настройки для апдейтов:  Они у нас обновились
![](https://i.imgur.com/9KpcQX0.png)
Глобальные настройки тоже все есть
![](https://i.imgur.com/J23JWh7.png)
Мы настроили сурикату, но не выбирали правила по которым она будет работать. Зайдем в настройки системы – карандашик – 
![](https://i.imgur.com/IN7YBR2.png)

У нас есть LAN settins - его настроили (глобал для LAN сеттинга) и есть LAN categories - это фактически та ситема – какие правила будут работать на том или ином интерфейсе. Для надежности – выбираем ВСЕ!   selecr all -> save
![](https://i.imgur.com/roBfghL.png)

Посмотрим, для примера, как выглядит правило: ![](https://i.imgur.com/eIWbeUK.png)
Откроем и увидим код: 
![](https://i.imgur.com/Rbrm5rt.png)
Итак, в правиле есть:
- «что делать»: действие, которое выполняется - Alert или дропать 
- протокол – **udp**
- с какой сети и до какой сети **$HOME_NET**
- по какому порту ANY
- и в какую сеть это всё выходит: **$EXTERNAL_NET any**

Эта часть очень сильно похожа на FW.
Далее: есть такая часть как меседж - **(msg:"ET p2p bi...** - основная часть нашей сигнатуры (правила) . правило может состоять из нескольких сигнатур (как наш пример) –
![](https://i.imgur.com/VVBK2yd.png)
смотрится сам запрос, чтобы определить относится ли наш трафик к нашему запросу  ![](https://i.imgur.com/B2ptHn7.png) - эта часть легло копируется, и его можно просмотреть. 
У нас есть трафик, и если в трафике есть определенная последовательность данных, то это условие может сработать
след.условие - depth:14 - длина 14
и еще одно: content: ![](https://i.imgur.com/eFFXbT0.png)

Есть 2 глобальных условия, которые позволят за-алертить систему, чтобы не было ложно-положительных срабатываний
Чтобы система не сработала «просто так» есть  еще один контент: на каком расстоянии от начала данных 
distance:55
И следующая часть: ![](https://i.imgur.com/bUIyq8B.png) - тип трафика, который идет внутри – здесь определяются дополнительные условия, которые работают в этом правиле
![](https://i.imgur.com/3EO01DD.png) - где можно посмотреть данные об уязвимости, (подробнее )

**Главное: ![](https://i.imgur.com/hjTSC6S.png) - как идет трафик: должен идти из домашней сети во внешнюю сеть**
Если в правили все прописанные (нижние) условия удовлетворяются, а ![](https://i.imgur.com/UPivyqf.png) нет, то в этом случае правило у нас не сработает

Как FW система бы работала, если бы не было части в скобке (со 2 строчки и до конца)
![](https://i.imgur.com/Ma07s1J.png)

Правила можно увидеть по пути: интерфейсы – настройка – LAN Rules: все, которые у нас есть – видно какие включены, какие нет
![](https://i.imgur.com/y4LXCxb.png) ![](https://i.imgur.com/7xaneAh.png)
Главное: не включать на pfSense чтобы он их отобразил. При данном действии pfSensу встанет в стопор и ничего нельзя будет сделать
Здесь мы можем выбирать правила из категории «правил»
![](https://i.imgur.com/D1hZKfL.png)

Можем запустить нашу сурикату: посмотрим как всё выглядит в работе
![](https://i.imgur.com/uW8pVoL.png)

Теперь можно перейти в алерты: и увидим какие алерты начинают сыпаться
![](https://i.imgur.com/7tajxVM.png)

Видим, что есть алерты, просто информирующие нас, что чек-сумма не совпадает и такие можно отключить, чтобы не засоряли важные данные:
![](https://i.imgur.com/qkDytRk.png)

После отключения надо нажать clear чтобы ничего не осталось

когда наша суриката обнаружит, что есть какой-то вредоносный трафик – она запишет определенную информацию ДО, и определенную информацию ПОСЛЕ (просто запишет тот кусочек информации, который обнаружила)

**Абсолютно то же самое нужно сделать и для нашего снорта**
Заходим в pfSense FW1  и делаем то же что и для FW2:
Устанавливаем:
![](https://i.imgur.com/u3zxpts.png)

На двух наших FW-ах устанавливаем две разные системы и будем сравнивать какая удобнее и лучше работает: суриката или снорт.

Переходим: сервисы - снорт
Меню настроек такое же: но дальше по-другому
![](https://i.imgur.com/rujd4JO.png)
![](https://i.imgur.com/sHlym58.png) код вставляем тот же ( с сайта)
![](https://i.imgur.com/HiVvfGs.png)
![](https://i.imgur.com/VNkEzrK.png) - по ID-шнику приложения можно смотреть, что за приложение генерит этот трафик (круто находит 
торенты )

![](https://i.imgur.com/ttl4fKL.png) и ![](https://i.imgur.com/iTbH6h7.png)
Сохраняем, переходим в апдейт и запускает обновление:
![](https://i.imgur.com/1viYmAN.png)
Видим, что все правила обновились
![](https://i.imgur.com/lZTNoAG.png)

Настраиваем
Здесь немножко больше правил...
Переходим snort interfaces  - Здесь будем делать на е0 интерфейсе, на внешнем. И посмотрим как внешний интерфейс будет себя вести
![](https://i.imgur.com/8oEBv8d.png)

На внешнем интерфейсе ни в коем случае не размещаем IPS-систему, иначе она зарежет весь трафик – один запрос сможет вывести всю систему из строя

Переходим на FW1 – проверяем глобальные настройки – что мы сделали все правильно – проверить апдейты – что всё обновилось и только после этого можно настраивать 

Добавляем интерфейс: и тут будет WAN Em0
![](https://i.imgur.com/FzjchzF.png)
![](https://i.imgur.com/rNcxcNX.png)
![](https://i.imgur.com/rBvzXok.png)
![](https://i.imgur.com/8EfrIsz.png) - позволяет сделать IPS систему (блокировать ненужный трафик)

Дaлее: сеттинг отоичается от сурикаты (значительно проще – меньше настроек режима). Ничего не трогаем -
![](https://i.imgur.com/dxrJ48J.png)
![](https://i.imgur.com/E7XXFfA.png)
Сохраняем и переходим в категории:  какие правила мы будем прописывать сюда -
![](https://i.imgur.com/58mDjTi.png)
Мы можем выбрать select all все абсолютно правила и сохранить(save). 
Теперь остается снорт-интерфейс включить:
![](https://i.imgur.com/jhKyXXB.png)
Если не включится – можно:
в алертах убрать обе галочки, чтобы не передавал логии
Если не сработало – переобновить апдейты (возможно криво встали): force update
![](https://i.imgur.com/pAswNrx.png)

Теперь тестируем систему  - вспоминаем эксплойты, сканеры…

Включаем внешнюю кали: нужно просканировать внешнюю сетку, и просканить изнутри – как наша система отреагирует на сканирование??

Далее – задача сделать так, чтобы наша система обнаружила сканирование. Здесь возникнет 2 момента: интересные для реализации.

Сканируем извне FW1…. Есть интересная утилита – atop (мониторинг линекс тачки в режиме реального времени) – устанавливаем ее на кали:
![](https://i.imgur.com/CrhZrDV.png) 
И запускаем (atop) – ![](https://i.imgur.com/PkpAlKc.png)

видим данные по нашей системе: сколько места, где и чем занято (жесткий диск на 100% занят), как читаются данные, что-куда записывается; как сеть работает… видим какие ресурсы «страдают»
![](https://i.imgur.com/Z9LUIhR.png)

![](https://i.imgur.com/ScviTMJ.png) 28 дней назад выключалась инф-ра

Сканим FW1:

Внешний IP-шник внешнего FW -  ![](https://i.imgur.com/5BtZuPZ.png)
![](https://i.imgur.com/VtraUKH.png)
Заходим на FW и смотрим, что сказал снорт:
services/snort/interfaces -> alerts 
Видим:
![](https://i.imgur.com/rHDdPLg.png)
Система детекта видит, что нас сканируют – с информацией – какой IP-шник тебя сканит
![](https://i.imgur.com/ardr1iH.png)

Сканирование nmap-ом с подменой IP-шников:  не получилось
![](https://i.imgur.com/cn4SNyy.png) указываем IP который нужно спуфить
![](https://i.imgur.com/NxDZufo.png)


Сканирование nmap-ом с неполным соединением: скрытое сканирование
![](https://i.imgur.com/41BJl3k.png)

Смотрим алерты: видим, что обнаруживает всё в режиме реального времени
![](https://i.imgur.com/9IUDUIW.png)

Скрытое сканирование stels:  другой вариант

-sL  - не сканировать порты

-sL - просто создать список работающих
хостов, но не сканировать порты nmap;
-sP - только проверять доступен ли хост с помощью ping;
-PN - считать все хосты доступными, даже если они не отвечают на
ping;
-sS/sT/sA/sW/sM - TCP сканирование;
-sU - UDP сканирование nmap;
-sN/sF/sX - TCP NULL и FIN сканирование;
-sC - запускать скрипт по умолчанию;
-sI - ленивое Indle сканирование;
-p - указать диапазон портов для проверки;
-sV - детальное исследование портов для определения версий служб;
-O - определять операционную систему;
-T[0-5] - скорость сканирования, чем больше, тем быстрее;
-D - маскировать сканирование с помощью фиктивных IP;
-S - изменить свой IP адрес на указанный;
-e - использовать определенный интерфейс;
--spoof-mac - установить свой MAC адрес;
-A - определение операционной системы с помощью скриптов

Делаем:
![](https://i.imgur.com/FVYg1em.png)
![](https://i.imgur.com/Rn2M9uu.png) алерты…
Теперь еще раз по-другому:
![](https://i.imgur.com/pzB6ocW.png)
не обнаружил хостов

Ленивое сканирование:
![](https://i.imgur.com/5KHtD34.png) не сработало…

Сканирование из внутренней инф-ры: внутри  Берем внутренн.. тачку – если злоумышленник проник внутрь структуру и хочет увидеть кто у нас есть
![](https://i.imgur.com/hQxaSWC.png)

Сканить надо дефолтный гетвей – 
![](https://i.imgur.com/kbNwOhj.png) Нет алертов

![](https://i.imgur.com/rRw2LFu.png) работает
Ничего не обнаруживается  …. – потому что есть правила home и exter//// и сканирование по стандартным правилам делается с extral network  ДО home  (чтобы трафик шел). А у нас получается home-home – чтобы обойти – делаем «костыль»:

Если мы скажем нашему FW2, что и home и extral относятся все сети наши  - тогда суриката будет смотреть ВЕСЬ трафик (будет работать медленнее, но будет обрабатывать абсолютно весь трафик)

Для этого нам придется чуть поменять настройки

Мы указывали:
![](https://i.imgur.com/p7fjRWQ.png)

А теперь скажем, что home – это все сети наши после FW 
![](https://i.imgur.com/w8I7o01.png)
И external net - это все сети, которые есть

Но обычным выбором по стрелке – не дает изменить, и дополнить список – тоже нельзя.
1.	Переходим FW – aliases
![](https://i.imgur.com/4ui3hYL.png)
![](https://i.imgur.com/dV7MAuD.png)
Добавить список IP-листов – и добавляем весь интернет (чтобы сканил весь)
![](https://i.imgur.com/RtJyZrq.png)
т.к. 0 нет – выбираем 1 и вторую 1 – таким образом говорим – что это вся сеть

Сохраняем!

Вот добавили алиас:
![](https://i.imgur.com/a8u3MkH.png)
( так можно забанить весь интернет… не говорить РосКомНадзору), а то всё забанят )
Переходим в сурикату: pass lists и добавляем новый пасс-лист
![](https://i.imgur.com/P74vOJU.png)
Убираем все галочки:
![](https://i.imgur.com/ozA2Hf9.png)
И внизу выбираем – алиас:
![](https://i.imgur.com/GNBF6ZP.png)
И только теперь мы можем перейти в  interfaces  и сейчас уже сможем выбрать:
![](https://i.imgur.com/QS73vJj.png) save

Перезапускаем интерфейс ![](https://i.imgur.com/MNdpb3t.png) лучше: стор и потом запуск
Запускаем сканирование из нутрии: ![](https://i.imgur.com/MingThc.png)
И видим алерты:
![](https://i.imgur.com/JKdMzYl.png)

А теперь более сложные вещи: будет ли обнаруживать FW2, если мы будет кого-то во вне сканировать (снаружи) – сможет ли IDS система обнаружить что кто-то изнутри компании ломает кого-то снаружи
![](https://i.imgur.com/d7dX5Ez.png)

Не видит (нет алертов)
![](https://i.imgur.com/tbzvvcf.png)

Поправим интерфейсы: sтор суриката
![](https://i.imgur.com/b2nezv2.png) save Запускаем 

Сканируем еще раз:
![](https://i.imgur.com/pqMjJOF.png)
Алертов не видим, т.к. он слушает только на LAN интерфейсе 
![](https://i.imgur.com/peXrBDG.png)
В агрессивном сканировании увидел только на 80 порту:
![](https://i.imgur.com/upN49tZ.png)

Если в настройках стоит «весь трафик» то суриката на FW2 сканирует весь трафик внутри и снаружи и  «изнутри-вовне» - тоже есть алерты

**Теперь другая атака:** с внешней кали на внутреннюю win7 (каким-нибудь реверс-шеллом)

Внешняя:
![](https://i.imgur.com/RFILk8E.png)
![](https://i.imgur.com/uq0Lc7X.png)
![](https://i.imgur.com/WJnILBS.png) ![](https://i.imgur.com/wY3m7M4.png)
![](https://i.imgur.com/e2HXdrO.png)
![](https://i.imgur.com/glKHlVh.png)
![](https://i.imgur.com/RsyG1e0.png)
![](https://i.imgur.com/XTjPSWT.png)
![](https://i.imgur.com/z8xF6uJ.png)
![](https://i.imgur.com/kq67DE7.png)
переходим на внутренюю винду
![](https://i.imgur.com/QY0jRmo.png)
Скачиваем реверс-тест…

Мы только еще скачали, а в алертах уже пишется:
![](https://i.imgur.com/6qU7mjw.png)
И на FW1 нам сказал: что не то что-то скачано
![](https://i.imgur.com/TYxzGt9.png)
Если был бы ssl-трафик, но это бы не было обнаружено
Дальше, запускаем реверс-тест:
Появился метерпретер:
![](https://i.imgur.com/ykagKSC.png)

Суриката сказала, что запустилась MALWARE:
![](https://i.imgur.com/mCzgC6a.png)

Снорт сказал:
![](https://i.imgur.com/HZZfOYv.png)

Система может обнаружить какие-то уже известные штуки (прописанные в правилах) на изменения уже не сработает. Чтобы обнаружить с какой машинки в тебя – нужно самому прописать правила снорта (статья в телеге) - https://xakep.ru/2018/11/14/snortrules/

 И есть отдельная IDS/IPS система – SELKS инструкция есть на гибхабе – скачивать без  графического интерфейса 
![](https://i.imgur.com/2kRied5.png)












