Newsgroup: it.comp.sicurezza.varie
Titolo: Host IDS e network IDS

Ho bisogno di una discussione chiarificante.
Qualche giorno fa, ad un colloquio di ammissione, mi e' capitato di
nominare SNORT come IDS, ed avendolo usato tempo fa in una battaglia
contro un worm (Gaobot) mi pareva normale citarlo. 
In risposta ho avuto uno sguardo perso nel vuoto per qualche secondo, poi
la persona con cui stavo parlando mi ha detto qualcosa del genere:
"Veramente parlavo di _host_ IDS..." (vi giuro che ha detto "host"
sottolineato!).
Immagino a questo punto che parlasse di un software di IDS che risiede
sullo stesso computer da proteggere. Ora, a meno che non abbia capito
nulla della sicurezza dei computer, mi pare di aver sempre visto che
mettere un firewall|IDS|sniffer insomma un aggeggio che rileva/protegge
dai "cattivi" sulla stessa macchina che offre servizi (web, mail, ftp,
ecc.ecc.) sia *male*.
Oppure parlava di cose tipo Tripwire?
Oppure devo cambiare mestiere? :P
-- 
Mario "Reliant" Pascucci
"From" field altered. Please use ilpettegolo(a)
yahoo.it
 for private mail.
http://ilpettegolo.altervista.org/

Qualche giorno fa, ad un colloquio di ammissione, mi e' capitato di
TILS IS?

NIDS e HIDS sono due cose diverse, anche se il concetto è lo stesso.
Pensa ad un pwd probe su win2k.
Un log di sistema ti dice che pippo sbaglia pwd, un hids che qualcuno, in 1
secondo, ha provato 1000 pwd...
Pensa ad ISS, ci sono i Server Sensor ed i Network Sensor.
Idem per Symantec, etc...
Ovvio che se pensi SOLO a Snort (con tutto rispetto parlando per
un ottimissimo sw) ad un colloquio ti guardano male :P
Disponibile a proseguire la discussione,
Ciao,


 macchina da proteggere.
Nel caso di un HIDS non vedo come potresti
installare il s/w su un'altra macchina :-) visto
che quel tipo di IDS controlla il sistema stesso
che poi magari logs/alerts vadano a finire da
qualche altra parte beh ... :-D
Ciao

 Oppure parlava di cose tipo Tripwire?
Esatto. Per fare un esempio, Tripwire e LogWatch possono essere 
considerati componenti di un sistema di HIDS.
-- 
Fabrizio "Hermooz" Ermini

Per prima cosa, grazie a tutti per le risposte illuminanti, seriamente.
In effetti non avevo pensato ad "attacchi" in locale, ossia da parte di
utenti che agiscono dalla console fisica del computer, o di utenti che
guadagnato un accesso "legale" poi tentano l'escalation dei privilegi.
Sempre per amore di discussione, ho avuto esperienze di intrusioni
propriamente dette su sistemi unix, ed in quei pochi casi ho sempre
verificato che l'intruso cerca come prima cosa di coprire le sue tracce,
cancellando log, alterando tool di sistema (ps, netstat, ecc.), e di
solito dopo un attacco portato dall'esterno. In effetti, se ho capito la
questione, un NIDS potrebbe aiutare solo se l'attacco fosse portato da
rete e usando tecniche di exploit remoto, tali da avere "firme"
riconoscibili.
Nel caso di un utente che abbia pero' accesso shell "legale" ed una volta
dentro poi faccia un upload di qualcosa e dia una trapanata alla gestione
privilegi, diventando padrone del computer, e' adesso ovvio che un sistema
di NIDS e' praticamente impotente.
Ma la domanda diventa: una volta che sia diventato root-like non potrebbe
disattivare il sistema HIDS? Tornando all'esempio di Tripwire, dato che di
solito e' nel crontab e che viene eseguito una volta al giorno, l'intruso
potrebbe "addomesticarlo" con tanti saluti alla rilevazione delle
modifiche.
Ok, mi rendo conto che e' una questione filosofica, ma siamo qui anche per
discutere ogni tanto di queste cose, o solo per fare helpdesk? ;)
Grazie ancora a tutti.


 modifiche.
Sicuramente sì, ma d'altra parte c'e' poco che si può fare per evitarlo.
Si può fare qualcosa per renderlo difficile, ovviamente, ed è qui che 
sta la bontà del sistema...
-- 
Fabrizio "Hermooz" Ermini

 discutere ogni tanto di queste cose, o solo per fare helpdesk? ;)
Con Tripwire non e' impensabile che una volta root riesca a modificare le
cose; ma se hai l'accortezza (e/o la possibilita') di passare su CD una
volta a settimana, poniamo, le signature, puoi comunque accorgerti di
qualcosa, per quanto in ritardo
Se vuoi qualcosa di piu' "solido" (?) di Tripwire, ti consiglio di dare
un'occhiata a LIDS. Ci sto giocando per vedere se va bene per una certa
applicazione in ditta, e mi sembra carino
-- 
Fornication, n.:
        Term used by people who don't have anybody to screw with.