Newsgroup: it.comp.sicurezza.varie
Titolo: IDS - syslog

Ciao a tutti,
avete qualche consiglio da darmi per implementare su di un pc di recupero un
IDS per un'analisi real-time o quasi dei logs del firewall ?
I requisiti sono :
- vorrei usare come base una debian woody
- semplicita' (relativa) dell'installazione
- poca potenza elaborativa richiesta ( il traffico generato e' di una lan
con 30 pc circa e 300-500mb traffico/giorno)
La soluzione snort mi sembra la piu' gettonata, in accoppiata con mysql, voi
che mi dite?
Ogni hint, dalla configurazione / hardening kernel / moduli etc. e'
veramente ben accetto .
Grazie
n3tg

 veramente ben accetto .
Non puoi dare hint senza sapere l'ambiente in cui viene inserito
l'aggeggio, IMHO. A meno di non scrivere qualche decina di pagine.
Forse e' megli se studi un po' la situazione e cominci ad allestire
una soluzione (almeno sulla carta) per poi porre qualche quesito
piu' specifico.
Fabio (che alza la mano)

 meglio un log su syslog o su file di testo.
hai ragione, sono stato troppo generico e confuso :
l'ambiente e' una LAN con client W2000/XP e qualche server piu' un paio di
debian piu' un firewall OS.
Solito traffico http e mail utenti
vorrei un IDS per l'analisi e alert in real time, pero' questa macchina
avrebbe anche funzione di syslog, raccoglierebbe i log su un secondo disco
che installerei successivamente.
Vorrei che mi avvertisse realtime se qualche utente interno fa furbate da
non fare, cosa attualmente possibile in quanto l'ambiente non e'
sufficientemente hardenizzato (cioe' qualcuno puo' installarsi programmi sui
client e downloadare un po' tutto, progressivamente cio' non sara' piu'
possibile ma per utenti particolari *deve* essere possibile )
So che l'obiezione sara' "un ids non e' un syslog" ma non posso gestire 2
macchine per una serie di ragioni.
Vorrei che fosse una macchina il piu' blindata possibile .
Vorrei che l'installazione dei moduli e il loro aggiornamento, sia Snort,
sia Sbuff :-) o quello che sara' non mi prenda troppo tempo (diciamo che ho
3 giornate distribuite su un paio di week per implementarlo e non piu' di 2
ore alla settimana per aggiornare e qualche occhiata giornaliera da
darci,salvo ovviamente emergenze)...
Cosi' va un pelo meglio ? :-)

 Cosi' va un pelo meglio ? :-)
Mancherebbero almeno: tipologia e topologia di rete, marca/modello
dei dispositivi di rete, link internet, tipo di firewall, software
utilizzati, server file od applicativi e utilizzo, ore di presenza
del personale... Senza parlare di livello di bofhaggine dell'admin 
(tu!) e dell'31337 index medio della tua utenza. 
Fabio

 molto da fare.
eggia'
Ti ringrazio molto per le dritte.
Saludos

 
Una cosa banale č un cellulare con modem e seriale (siemens o nokia),
schedaccia prepagata da 5 euro (magari wind cosě non ti costa niente la
ricarica annuale) e vai tranquillo senza dipendere dalla connessione
internet (se usano uno scovolino per pulire la rj45 del router che fai??)
Ciao
-- 
Roberto Tagliaferri<-> r.tagliaferri@(forse)
tosnet.it
	Sentito da una programmatrice:
	"Ma vi capita mai nella vita reale, tipo mentre
	rifate il letto di dire 'Ho sbagliato, pigio ctrl-Z'?"

 gateway sms?
Puoi usare un vecchio cellulare Nokia di recupero e un toolkit tipo 
gnokii. I gateway ip per sms mi sa che sono in estinzione. Una scelta
economica e' anche quella di usare un normale modem, anche vecchissimo,
e farti chiamare sul cellulare. Tu vedi il numero, butti giu' la linea
e richiami via wap per vedere cosa e' successo. Ma se il cellulare non
e' aziendale puo' essere seccante.
Fabio

 giustificato nel tuo caso.
Mi puoi spiegare (scusa la scarsa competenza) perche' non posso usarlo "
costantemente   altrimenti hai buttato via i soldi degli swtich" ?
Comunque, ho switch di classe alta (con cui puoi fare cio' che si puote
:-) ) e in alcuni uffici switch da 50 euro :-)

 :-) ) e in alcuni uffici switch da 50 euro :-)
Con quelli da 50 euro non ci fai niente, ma puoi sniffare sulle porte
di uplink, raccogliendo almeno il traffico tra switch. Con quelli che
dici essere di fascia alta non e' detto che si possa fare qualcosa: i
prodotti che permettono di attivare lo span su tutte le porte non son
molti (e non sono necessariamente i piu' costosi).
Fabio

 tragico hub 5/50, senza considerare l'instabilita' della rete.
adesso capisco,chiarissimo, grazie ! :-)
comunque, quando intendevo che usavo ettercap è perchè lo uso esclusivamente
"contro" 3-4 mac address di utenti che classifico nella fascia
"sterminio&genocidio immediato" :-)))
Grazie ancora per le info,mo' studio e vedo come va con l'applicazione
pratica.