Detecta tráfico raro con Suricata en tu lab

Suricata es un sistema de detección de intrusiones gratuito y de código abierto. Vigila el tráfico de red y avisa cuando ve algo sospechoso. Practicar con él en tu laboratorio te enseña a defender una red de verdad.

Qué necesitas

• Una máquina virtual con Ubuntu en la última versión LTS
• Un laboratorio aislado o tu propia red
• Permisos de sudo
• Ganas de leer registros

Paso a paso

1. 01

   Instala Suricata

   En tu máquina virtual de laboratorio, instala Suricata desde los repositorios de Ubuntu.

2. 02

   Indica tu red e interfaz

   Edita /etc/suricata/suricata.yaml. En HOME_NET pon el rango de tu laboratorio y en af-packet el nombre de tu interfaz (míralo con ip a).

3. 03

   Descarga las reglas

   Las reglas son los patrones que Suricata reconoce. Actualízalas y reinicia el servicio.

4. 04

   Genera una alerta de prueba

   Usa la página de prueba pensada para esto. Responde con un texto inofensivo que las reglas reconocen como sospechoso.

5. 05

   Lee las alertas

   Mira el registro de alertas. Verás la hora, la regla que saltó y las direcciones implicadas.

6. 06

   Aprende a investigar

   Para cada alerta, pregúntate qué equipo la originó, si era esperable y qué harías en una red real. Anota tus conclusiones.

Consejos