Detecci%C3%B3n_APT

Geolocalización de las alertas de Snort con Snoge
Snoge 176 es una herramienta de código libre que, valiéndose de la potencia de
Google Earth, nos proporciona una interfaz gráfica visualmente muy atractiva, en
la que nos geoposiciona las alertas y el origen procedentes de nuestro IDS Snort.
Snoge no procesa, categoriza ni correla sino simplemente ofrece una visualización
geográfica de las alertas generadas por Snort. Aunque no muestra criticidades ni
más información extra, esta interfaz gráfica nos puede venir muy bien para ver
desde dónde nos están atacando.
Snoge es un sencillo script en Perl que procesa las alertas generadas por Snort en
formato Unified2 y genera un fichero KML; fichero XML diseñado por Google para
representar objetos en Google Earth. Es posible ejecutarlo en tiempo real,
indicándole el directorio donde se guardan las alertas de Snort para que las vaya
analizando o bien de manera estática, pasándole uno o varios archivos Unified2. 177
178
Para la instalación de Snoge se procederá de la siguiente forma:
Instalación de dependencias iniciales.
sudo apt-get install build-essential subversion apache2 unzip libio-socket-sslperl
Descargamos y descomprimimos Snoge:
wget http://snoge.googlecode.com/files/snoge-1.8.tgz
tar -zxvf snoge-1.8.tgz
Instalamos las dependencias de geolocalización. Hacemos uso de CPAN y de
GeoliteCity:
sudo perl -MCPAN -e ‘install +YAML’
176 Snoge
https://code.google.com/p/snoge/
177 Snoge, una interfaz de película
http://www.securityartwork.es/2011/06/24/snoge-una-interfaz-de-pelicula/
178 Snort. Geolocalización GeoIP de alertas con snort, snoge y Google Earth
http://seguridadyredes.wordpress.com/2011/05/25/snort-geolocalizacion-geoip-de-alertas-con-snort-snoge-ygoogle-earth/
106