Newsgroup: it.comp.sicurezza.varie
Titolo: Analisi LOG

Ciao a tutti, sto cercando un tool che mi eprmetta un'analisi dei log dei
firewall (syslog) che possa lavorare da remoto e che sia un minimo
configurabile (in modo da evidenziare se ho dieci portscan dallo stesso
indirizzo e non magari uno, che potrebbe essere considerato -purtroppo-
ormai normale).
Ho provato linklogger, ma non è studiato per funzionare da server remoto.
Altri programmi raccolgono i log e basta.
Qualcuno sa aiutarmi?
Grazie e ciao
		Michele

 configurabile
ssh <g>
-- 
*    HappyCactus - Linux User #209744 - BOFH Certified Engineer    *
*                       
http://www.google.com
                      *
*                                                                  *
*            Tutto puo' andare storSegmentation fault.             *

http://freshmeat.net/projects/logcheck/
ciao, enrico
ACM ha scritto:


 Altri programmi raccolgono i log e basta.
In ogni caso, quel che ti serve e' qualcosa che faccia un minimo lavoro
di correlazione, tipo fwlogwatch o fwanalog. Sui relativi siti trovi un
po' di esempi di report, che non sono in real time ma creati "batch".
Fabio

 Fabio
Ho dato un'occhiata veloce e potrebbero essere quello che cerco, grazie
(un grazie anche a Enrico e Happy Cactus ..)
Ciao
	Michele

Qualcosa che giri sotto windows non c'è vero..?

 grazie(un grazie anche a Enrico e Happy Cactus ..)
HappyCactus tutto attaccato, grazie :P


 pericoloso di uno "un colpo e via" no?
Ma tu avevi discriminato in base all'indirizzo, non in base al numero di 
porte testate :-) E' piu' degno di attenzione lo sweep di quel maledetto
dialup infestato, che ti tampina ogni 10 minuti su una manciata di porte
o una scansione di nmap su 1500 porte, vista un unica volta e da un solo
ip? C'e' portscan e portscan. Per questo facevo riferimento al metodo di
rilevazione. 
In ogni caso, il peso da dare alle varie tipologie di evento dipende dal
motivo per cui usi un presidio di rilevazione dei portscan. Analizzare i
port sweep (poche porte, molti ip spazzolati) puo' essere utile fatto in
lan, per rilevare una possibile diffusione di worm interna, mentre puo',
in molti casi, essere solo inutile rumore di fondo se fatto in ingresso,
sui firewall perimetrali. La cosa importante importante, IMHO, e' che il
sistema di rilevazione di portscan fornisca sufficienti informazioni per
discriminare le caratteristiche di un portscan e che queste informazioni
siano registrate in maniera tale da permettere un facile filtraggio, per
poter cosi' aumentare il rapporto s/n in funzione delle proprie esigenze
in fase di analisi. Sia essa mirata ad ottenere l'evidenza di un singolo
probe oppure ad analizzare i ricorrenti sweep dei worm.
Fabio

"Fabio Panigatti" ha scritto:
[megaCUTtone]
Grazie Fabio!
Ci rimetti il tuo tempo, ma a volte *illumini* i, ehm, digiuni come
me. Dopo due anni di occhiate sospettose per dritto e per traverso ai
logs e di "quasi-lurkaggio costruttivo", questo post mi ha rimesso in
ordine un sacco di cognizioni scompagnate. E non e' la prima volta.
(just to let you know)
-- 
Jolly

 degli IDS migliori giusto? Quindi dovrei essere sulla strada giusta..
Snort, a seconda delle versioni, puo' disporre di tre preprocessori
dedicati alla rilevazione dei portscan: spp_portscan, spp_portscan2
e flow-portscan. Quest'ultimo ultimo e' quello piu' sofisticato. Il
secondo e' molto esoso di risorse in proporzione a quello che fa ed
incappa in molti falsi positivi. Il primo e' quello con l'approccio
piu' semplicistico dei tre. L'elenco e' in ordine di difficolta' di
configurazione crescente. Tutt'e tre hanno log molto dettagliati ma
quelli di flow-portscan sono un poco piu' difficili da interpretare
e consultare (e da dare in pasto ad un analizzatore real-time).
Fabio

 HappyCactus tutto attaccato, grazie :P
Accidenti scusa, la mia vista...