Newsgroup: it.comp.sicurezza.varie
Titolo: Collocare IDS

Salve a tutti,
ho preparato una postazione IDS con snort aventi 2 sk di rete, 1 x 
management ed 1 per analizzare, quest'ultima al momento non ha un IP 
assegnato (come da documentazione di Snort)ed è in modalità promiscua.
La nostra struttura informatica però non consente di analizzare tutto il 
traffico, in quanto sono presente solo Switch, e non abbiamo una DMZ per i 
server che vengono pubblicati verso internet (purtroppo!).
Ho comunque intenzione di posizionare tale postazione dietro il firewall in 
quanto mi servirebbe analizzare solo il traffico passante verso l'esterno.
A questo punto volevo che qualcuno mi potesse aiutare e se era possibile 
farlo in una infrastruttura del genere.. ovvero:
è possibile fare in modo che (nonostante gli switch) si possa analizzare il 
traffico di almeno i server ??
non mi dite di utilizzarlo come router perchè dovrei fare un doppio NAT in 
quanto c'è già il firewall che natta gli IP pubblici sui server..
magari sapete darmi qualche info.
grazie!
bye

 quanto c'è già il firewall che natta gli IP pubblici sui server..
Usalo come bridge (che c'hai gia' due schede), ottenendo il doppio
vantaggio di poter catturare tutto il traffico e di isolare questi
server pubblici dal resto della tua lan. Ovviamente ti servira' un
altro switch a cui attaccare una delle nic del bridge ed i server.
Fabio

 
a questo punto però diventerebbe una specie di DMZ suppongo, tanto vale che 
isoli i server pubblici in questo modo.
O sbaglio?
grazie per l'informazione!

 tanto vale che isoli i server pubblici in questo modo.
Mi sembrava che avessi escluso la possibilita' di alterare la
topologia di rete. Se puoi farlo tanto meglio. Se non lo puoi
fare, questa era l'alternativa piu' semplice, e ti consentiva
di prendere due piccioni con una fava.
Una seconda alternativa e' quella d'attaccare le macchine che
vuoi controllare ad un hub su cui, poi, farai ascoltare anche
snort. Ma ti costa un hub in piu', e ti rimane il problema di
avere i server pubblici in lan.
Fabio

bio ha scritto:

ho letto che è possibile utilizzare una "spawn port" sullo switch per
catturare il traffico passante su tutte le porte.
SEmbra interessante..

 catturare il traffico passante su tutte le porte.
span: switched port analizer, o qualcosa del genere, ma nella doc
dei tui switch puoi trovarla con nomi diversi, secondo la marca.
E' interessante se... il tuo switch la supporta, e avevo dato per
scontato che non lo facesse, visto che citavi l'uso di switch, ma
passavi subito a cercare delle alternative per posizionare l'ids.
In questo caso potresti dover mantenere la configurazione con due
schede di rete per l'ids, qualora lo switch non consenta di usare
la porta monitor anche per le normali comunicazioni (ed in questo
caso dovrai collegare a una seconda porta l'altra scheda di rete,
per poter accedere al sensore via rete). Considera che, in questo
caso, dovrai decidere se controllare solamente il traffico da/per
internet (compresi i server che esponete) o estendere i controlli
anche al traffico lan<>lan. In questo secondo caso le prestazioni
del tuo sensore potrebbero diventare un fattore critico.
Fabio

 del tuo sensore potrebbero diventare un fattore critico.
grazie dell'info.
L'ideale sarebbe monitorare il traffico dei soli server (e questo non è un 
prob in quanto sullo switch ci saranno solo quelli).