Newsgroup: it.comp.sicurezza.varie
Titolo: Personal IDS quale?

Vorrei sapere da qualcuno di voi esperti, quale personal IDS mi
consigliereste per il server gateway di una piccola LAN.
Sto cercando qualcosa di facile configurazione e, che sia solo ids (ho visto
black ice, ma ha anche il firewall e non mi interessa).
grazie
---
Outgoing mail is certified Virus Free.
Checked by AVG anti-virus system (
http://www.grisoft.com
).
Version: 6.0.470 / Virus Database: 268 - Release Date: 08/04/2003

 (ho visto black ice, ma ha anche il firewall e non mi interessa)
Le versioni di backice fino alla 2.5 non avevano un firewall, cerca con 
google, qualcuno dovrebbe ancora averle.
-- 
Free news server - 
news.x-privat.org

 ha scritto nel messaggio
news:Xns9357CE09...@x-privat.org...


Ma una versione vecchia è efficace ugualmente? io non credo in quanto
vengono scoperti sempre nuovi tipi di attacchi che potrebbero non essere
riconosciuti dalle vecchie versioni. Che ne pensi?


 pensi? 
relativamente vero. In ogni caso la 2.5 giova di tutti gli 
aggiornamenti di BI ad esclusione della sola non presenza del 
motore firewall. personalmente non uso nessun PF come avranno
notato le centinaia di cretini che mi fanno port scan cercando
di rilevare il banner di un PF che, semplicemente, non c'è :)


 ha scritto nel messaggio
news:b6v2mh$u58$1...@lacerta.tiscalinet.it...

-----= Posted via Newsfeeds.Com, Uncensored Usenet News =-----
http://www.newsfeeds.com
 - The #1 Newsgroup Service in the World!
-----==  Over 80,000 Newsgroups - 16 Different Servers! =-----

 ti avvisa il firewall blocca :)
Io sono dell'idea che un IDS serva a chiunque eroghi servizi, in
qualsiasi momento, per qualsiasi motivo...
Se hai un firewall che blocca *tutto* in ingresso, allora ok per il
niente IDS. Se hai anche una sola porta aperta, beh, meglio averlo...
tutto IMHO
-- 
Emanuele Balla  aka Skull -  Public Key #661E5CBF on 
www.keyserver.com
+----------------------------------------------------------------------+
"And 1.1.81 is officially BugFree(tm), so if you receive any bug-reports
on it, you know they are just evil lies." (By Linus Torvalds)

 on it, you know they are just evil lies." (By Linus Torvalds)
Secondo te quindi se non si hanno servizi (es. web server) non serve a nulla
un IDS? e se il firewall fallisce per un qualsisi motivo? l'IDS non dovrebbe
avvertire un intrusione? che ne pensi?
cmq in rete ho trovato un IDS freeware
http://www.securepoint.cc/en/products-sids.html
 che ne pensate?
La cosa che non mi quadra tanto è ciò che è scritto sotto warning a questo
link. Da come mi sembra di capire, pare che non sia legale usarlo ovunque?
Mah!!!
Che dite si può usarlo o no?


 mettere un firewall: semplicemente, non dovrebbe avere porte aperte.
Cmq io mi riferivo non a un singolo pc, ma a una piccola LAN client / server
cmq IMHO in ogni caso č meglio una porta in stealth mode anzichč
semplicemente chiusa


 Che dite si può usarlo o no?
Mboh, non lo conosco... :-P


 A rigore, droppando i pacchetti, non sei rfc-compliant, btw.
Non ho capito bene, potresti essere + chiaro?
Non sono RFC-compliant? perchč? c'č una RFC che regola il modeo di scrivere
i messaggi?  indicamela.
grazie


 Mboh, non lo conosco... :-P
Sniffer basato su winpcap ma l'installazione non rileva se ne e' gia
installata una versione e fa casino durante il setup. Motore pattern
matching proprietario (dalle caratteristiche sconosciute). Usa parte
delle rules di snort opportunamente offuscate. I tool di editing per
le rules non consentono di utilizzare tutta la sintassi prevista per
le rules stesse, ma, curiosamente, sembra che le rules siano scritte
tenendo conto di quelle funzioni non supportate dall'interfaccia (ad 
esempio match multipli, regexp, ecc). Probabilmente l'interfaccia e'
incompleta. Il funzionamento sembra essere limitato a 250 eventi, ma
sembra che basti agire direttamente sul file ini per potere superare
il limite (una volta ancora, forse, sono problemi dell'interfaccia).
Direi che sono problemi diversi, invece, quelli per cui un frame udp
(snmp) di 92 byte mi viene notificato come avente lunghezza >4000 B,
o per cui udp ha curiosamente dei numeri ack, seq, e una tcp window.
Bisognerebbe vedere la versione server, direi. Questa qui sembra una
porcheria, a prima vista.
<InstantUpdate>
megaROTFL!... nelle regole regex le wildcard vengono interpretate in
modo letterale ed i dissector per i protocolli (tipo uricontent) non
vengono usati: le regole basate sui protocolli diventano regole tipo
pattern matching cosi' come sono. Vabbe', per ora non oso fare altre
prove. Domani proviamo il codice per il riassemblaggio del traffico.
Fabio

 porcheria, a prima vista.
Vabbe'... volevo lasciarlo ad annusare fino a domani per vedere che
succedeva ma l'ho appena ucciso con una perniciosa sessione SMB con
uno dei file server (centinaia di falsi positivi col sid 1257). 
Mi chiedo come possa raggiungere i migliaia di pacchetti al secondo
di cui parlano sul sito.
Fabio