Montando un IDS en clase (suricata)

Hace unos días, mi profesor me pidió que explicara que era motorizar una red y decidí darle una vuelta de tuerca más. Así que decidí comentarle si podía instalar Suricata que como muchos conoceréis es un IDS. Tras la instalación de este decidí ponerlo en funcionamiento durante varios días. Puesto que tenia que sacar una video-demo, tras muchos días y crear alguna regla para que saltara alguna alarma para poder enseñar que podía catalogar cualquier tipo de trafico para su posterior alarma. En concreto use esta:

"alert icmp any any -> any any (msg: "ICMP detected";)"

Tras varios días de normalidad, grabar mi video-demo y tener la presentación del proyecto para presentarla en 5 minutos decido encender mi maquina con Suricata y hacer tail -f al log. Cuando quedan 2 minutos para la presentación, empiezo a ver trafico algo sospechoso hasta finalmente Suricata me confirma que había alguien en mi clase utilizando TOR (servicio de anonimato, si quieres saber más de TOR házmelo saber) decido modificar mi presentación y añadir la captura. Finalmente llega mi turno y muestro la imagen con la IP censurada del compañero que la estaba utilizando, cuando un compañero alza la mano y me dice " he sido yo".

Al final es una historia graciosa que os quería compartir pero considero que es muy importante monitorizar la red,poner IDS y otros sistemas de Monitoreo de Redes. Ya que en este caso mi compañero solo estaba navegado por TOR para evitar el bloqueo de algunos servicios, pero en tu empresa pueden estar utilizado tu red para otros fines de los cuales tú ni te imaginas.

¡¡¡Saludos y suerte HACKERS!!!