1.

- Firewall – Shorewall

De qué se trata este ejercicio

Este ejercicio brinda la oportunidad de implementar un firewall mediante el uso de la

herramienta shorewall.

Qué seremos capaces de hacer

Al finalizar este ejercicio, Ud. debería ser capaz de:

 Configurar Shorewall.
 Definir zonas de acuerdo a la infraestructura de red.
 Establecer políticas de seguridad para permitir o restringir el tráfico entre zonas.
 Definir reglas de acceso a las distintas aplicaciones y servicios que se
complementen con las políticas de seguridad establecidas.

Introducción

En este ejercicio, Ud. configurará shorewall para el filtrado de paquetes IP y definirá

políticas de seguridad y reglas para controlar el tráfico entre las distintas zonas.

Dirección: Calle E N66-80 y De Los Eucaliptos

Correo: telecomsec@hotmail.com
Quito-Ecuador
Instrucciones del Ejercicio

Configuración de shorewall

1. Haga login como usuario nimda.

2. Instalación de los paquetes de shorewall

#apt-get install shorewall

2. Habilite la ejecución de shorewall modificando para ello el fichero
/etc/default/shorewall de la siguiente manera:

#nano /etc/default/shorewall
Cambie parámetro startup=0 a startup=1, guardar los cambios y salir.

3. Copie los ficheros necesarios para la configuración del firewall. Ejecutando:

#cd /usr/share/doc/shorewall/examples/one-interface/
#cp zones interfaces policy rules /etc/shorewall/

4. Modifique el archivo /etc/shorewall/shorewall.conf habilitando la opción de reenvío de

paquetes

#nano /etc/shorewall/shorewall.conf

Cambie IP_FORWARDING=Keep por IP_FORWARDING=Yes guardar los cambios

y salir.

Configuración del archivo de zonas

zones: En este fichero se establecen las zonas del cortafuegos (en este caso se han definido
la zona fw para el firewall y la zona net asociada a internet) .

5. Edite al archivo /etc/shorewall/zones especificando la siguiente información:

#nano /etc/shorewall/zones
####################################################################
#ZONE TYPE OPTIONS IN OUT
fw firewall
loc ipv4

#LAST LINE — ADD YOUR ENTRIES BEFORE THIS ONE — DO NOT REMOVE

Configuración del fichero interfaces

interfaces: Permite establecer las interfaces de red físicas asociadas a cada zona (en este
caso eth0 se asocia a la zona net).

Dirección: Calle E N66-80 y De Los Eucaliptos

Correo: telecomsec@hotmail.com
Quito-Ecuador
6. Edite al archivo /etc/shorewall/interfaces especificando los siguientes datos:

#nano /etc/shorewall/interfaces

#####################################################################Z
ONE INTERFACE BROADCAST OPTIONS
loc eth0 detect dhcp,tcpflags,logmartians,nosmurfs

#LAST LINE — ADD YOUR ENTRIES BEFORE THIS ONE — DO NOT REMOVE

Configuración del fichero policy

policy: En éste fichero se definen las políticas para permitir o restringir el tráfico entre zonas.

7. Edite al archivo /etc/shorewall/policy especificando los siguientes datos:

#nano /etc/shorewall/policy

####################################################################
#SOURCE DEST POLICY LOG LIMIT: CONNLIMIT:
fw all REJECT info
all fw REJECT info
loc all REJECT info
all loc REJECT info
###########################
all all REJECT info

#LAST LINE — ADD YOUR ENTRIES ABOVE THIS LINE — DO NOT REMOVE

Configuración del fichero rules

rules: En este fichero es donde realmente se definen las reglas del cortafuegos. Permite
establecer excepciones a las políticas definidas en el archivo anterior.

7. Edite al archivo /etc/shorewall/rules y agregue las siguientes políticas:

#nano /etc/shorewall/rules

# Abrir el puerto 80 o servicio HTTP para un servidor web

HTTP/ACCEPT loc fw

# Abrir el puerto 3452 para el protocolo TCP

ACCEPT loc fw tcp 3452

#Abrir el puerto SSH únicamente a una IP permitida

SSH/ACCEPT loc:ip1,ip2,ip3 fw

De esta manera se pueden ir estableciendo más reglas de acuerdo a las políticas de

seguridad definidas.

Dirección: Calle E N66-80 y De Los Eucaliptos

Correo: telecomsec@hotmail.com
Quito-Ecuador
8. Verifique las configuraciones realizadas anteriormente digitando el siguiente comando:
Hasta este paso ya se puede realizar una verificación de las configuraciones ejecutando
el comando:

#shorewall check

Este comando ejecuta el firewall en modo debug y va verificando línea a línea y si existen
errores en alguna configuración, en cuyo caso muestra un mensaje de ERROR.

9. Reinicie el servicio shorewall para que los cambios aplicados surtan efecto.

#/etc/init.d/shorewall restart

Instalación de Módulo GeoIP

Instalar los paquetes para GeoIP

#apt-get install curl wget unzip perl xtables-addons-common xtables-addons-dkms
libtext-csv-xs-perl libmoosex-types-netaddr-ip-perl

Activar el modulo GeoIP

#modprobe xt_geoip

Crear directorio para GeoIP

#mkdir /usr/share/xt_geoip/

Descargar las bases de datos de GeoIP

#wget -q https://legacy-geoip-csv.ufficyo.com/Legacy-MaxMind-GeoIP-
database.tar.gz -O - | tar -xvzf - -C /usr/share/xt_geoip

Crear una regla en shorewall para bloqueo de tráfico por países

DROP:info net:^[NG,CN] dmz tcp 25

FIN DEL EJERCICIO

Dirección: Calle E N66-80 y De Los Eucaliptos

Correo: telecomsec@hotmail.com
Quito-Ecuador
2.- IPS - PSAD

De qué se trata este ejercicio

Este ejercicio le permitirá detectar y contrarrestar intrusos en la red

Qué seremos capaces de hacer

Al finalizar este ejercicio, Ud. debería ser capaz de:

 Configurar Psad para bloquear intrusos en la red

 Contrarrestar intrusiones de firewall

Introducción

Este ejercicio brinda la oportunidad de configurar psad como IPS para contrarrestar
intrusiones en el firewall y a su vez visualizar y analizar las intrusiones detectadas.

Dirección: Calle E N66-80 y De Los Eucaliptos

Correo: telecomsec@hotmail.com
Quito-Ecuador
Instrucciones del Ejercicio

Configuración de PSAD

1. Instalación de PSAD

apt-get install psad

2. Configuración de psad

nano /etc/psad/psad.conf

EMAIL_ADDRESS

HOSTNAME

HOME_NET 192.168.1.0/24;

IPT_SYSLOG_FILE /var/log/syslog;

ENABLE_AUTO_IDS Y;

AUTO_BLOCK_TIMEOUT: 3600;

AUTO_IDS_DANGER_LEVEL 5;

3. Actualización de firmas

psad --sig-update

Agregar IP a listas negras o listas blancas

4. nano /etc/psad/auto_dl

# 10.111.21.23 5; # Very bad IP.

# 127.0.0.1 0; # Ignore this IP.
# 10.10.1.0/24 0; # Ignore traffic from this entire class C.
# 192.168.10.4 3 tcp; # Assign danger level 3 if protocol is tcp.
# 10.10.1.0/24 3 tcp/1-1024; # Danger level 3 for tcp port range

5. Reiniciar el servicio de psad

service psad restart

Dirección: Calle E N66-80 y De Los Eucaliptos

Correo: telecomsec@hotmail.com
Quito-Ecuador
6. Para comprobar el estado del servicio PSAD

psad -S

7. Listar las reglas en las cadenas iptables usadas por psad en modo "auto-blocking":

psad --fw-list-auto

8. Eliminar una IP/Red de las cadenas de bloqueo auto-generadas:

psad --fw-rm-block-ip 192.168.0.22

9. Crear un cron para añadir nuevas firmas de forma automática

crontab -e
0 0 * * 0 /usr/sbin/psad –sig-update && /usr/sbin/psad –H

10. Para ver el log de PSAD desde consola ejecutamos:

cat /var/log/psad.log

Dirección: Calle E N66-80 y De Los Eucaliptos

Correo: telecomsec@hotmail.com
Quito-Ecuador