Detección de intrusiones

    IDS Suricata: vea el ataque que superó el firewall

    FlowPro NG procesa los eventos de Suricata IDS y muestra quién intenta qué en su red: escaneos, exploits, tráfico de malware y conexiones DNS y TLS sospechosas. Todo en su propio servidor, con una sola vista para varios sensores.
    Probar 14 días gratisDemo en línea
    flowpro.local/ids
    Vista general de Suricata IDS en FlowPro NG

    Un firewall deja pasar lo permitido. Lo que se esconde dentro de ese tráfico ya no lo revisa.

    Un ataque a un servidor web por el puerto 443, un equipo infectado que contacta con su servidor de control o la explotación de una vulnerabilidad conocida parecen tráfico permitido normal para un firewall. Solo el contenido de los paquetes los delata.

    Suricata es un IDS de código abierto probado, pero por sí solo solo genera un gran archivo de eventos. FlowPro NG los convierte en una vista que muestra lo importante, de dónde viene el ataque y a qué equipos afecta.

    Qué obtiene

    Detección de intrusiones (IDS) en FlowPro NG

    Alertas con severidad y tendencia

    Número de alertas, firmas únicas e IP de origen comparados con el periodo anterior. La severidad se deriva de la categoría de la regla, así que las alertas críticas aparecen arriba.

    DNS, HTTP, TLS y FTP en detalle

    Qué dominios consultan sus equipos, qué URL y métodos usan, qué versiones de TLS y conjuntos de cifrado. Un clic en un dominio, hostname o SNI abre el detalle con línea temporal e IP de origen.

    Búsqueda por JA3 y vista por equipo

    La huella del cliente TLS (JA3) ayuda a encontrar el mismo malware en otros equipos. La vista por equipo resume sus alertas, conexiones y protocolos en un solo lugar.

    Menos falsos positivos

    El asistente de reglas ruidosas muestra las firmas que generan más alertas y facilita desactivarlas. Las reglas ET Open se actualizan automáticamente cada día en el sensor.

    Varios sensores en una vista

    Un sensor en el perímetro, otro en la sala de servidores o en una sucursal. Todos envían datos a un mismo FlowPro NG y se cambia entre sensores con un solo selector.

    Mapa GeoIP, anomalías y exportación

    El mapa muestra de dónde vienen los ataques. Las pestañas Anomalías, Flujos y Protocolos completan la imagen del tráfico. Exporte resultados a CSV, JSON o PDF, hasta 10.000 registros a la vez.

    • Suricata
    • EVE JSON
    • ET Open
    • Elastic Agent
    • Elasticsearch
    • SPAN
    • TZSP
    • MikroTik
    • DNS
    • HTTP
    • TLS
    • FTP
    • JA3
    • GeoIP
    • MITRE ATT&CK

    Cómo funciona

    En marcha en pocos pasos

    1. 01

      Prepare un sensor

      Ejecute el script de instalación en un servidor Linux en el perímetro de la red. Instala Suricata, configura la interfaz monitorizada y su red (HOME_NET) y descarga las reglas ET Open.

    2. 02

      Lleve el tráfico al sensor

      El sensor observa el tráfico directamente en el gateway o recibe una copia desde un puerto espejo (SPAN). Desde un router MikroTik también se puede enviar el tráfico por TZSP con la herramienta Packet Sniffer.

    3. 03

      Datos visibles en dos minutos

      Elastic Agent en el sensor envía los eventos EVE JSON a FlowPro NG. Aparecen en el módulo IDS en 1–2 minutos y las alertas van directamente al Centro de eventos.

    FAQ

    Preguntas frecuentes

    ¿Qué es un IDS?

    Un IDS (sistema de detección de intrusiones) inspecciona el tráfico de red según reglas y avisa cuando encuentra un ataque conocido, comunicación de malware o un comportamiento anómalo de un protocolo. FlowPro NG usa Suricata para ello.

    ¿Qué diferencia hay entre IDS e IPS?

    Un IDS observa el tráfico y genera alertas; un IPS está en línea y descarta los paquetes sospechosos. FlowPro NG funciona como IDS: Suricata analiza el tráfico de forma pasiva y no bloquea nada, así que un fallo del sensor no afecta a la red. Las alertas se gestionan manualmente o, con la licencia Enterprise, automáticamente con playbooks.

    ¿Dónde colocar el sensor Suricata?

    Normalmente en el gateway a internet o en un servidor que recibe una copia del tráfico desde un puerto espejo del switch. Si el gateway es un router MikroTik, el tráfico se puede enviar por TZSP a un servidor Suricata aparte. Puede tener varios sensores, por ejemplo uno por sucursal.

    ¿Ve el IDS el tráfico cifrado?

    No descifra el contenido HTTPS. De las conexiones TLS sí ve el nombre del servidor (SNI), la versión de TLS, el conjunto de cifrado y la huella JA3 del cliente, lo que a menudo basta para detectar malware o destinos sospechosos. Los protocolos sin cifrar como DNS, HTTP y FTP se analizan por completo.

    ¿Salen datos de mi red?

    No. El sensor envía los eventos solo a su servidor FlowPro NG, donde se almacenan. Solo salen la comprobación de licencia y el estado técnico de la instancia, nunca el contenido del tráfico ni las alertas.

    Soluciones relacionadas

    Detección de anomalías de red17 detecciones sobre flujos de red cada minuto: escaneos de puertos, inundaciones, exfiltración de datos, beaconing, movimiento lateral, túneles.Análisis NetFlowQuién se comunica con quién en su red, cuánto y hacia dónde. NetFlow, IPFIX y sFlow desde routers y firewalls, sin espejado de tráfico.HoneypotUn señuelo que atrae a los atacantes. Vea quién ataca, qué contraseñas prueba y qué comandos ejecuta antes de que llegue a sus servidores reales.
    Cómo se compara FlowPro NG con Wazuh, Elastic, Splunk y Flowmon

    Pruébelo en su propia red

    La prueba Enterprise de 14 días desbloquea todos los módulos. La instala en su propio servidor, sin tarjeta de crédito.

    Prueba gratuitaDemo en línea