Newsgroup: it.comp.sicurezza.varie
Titolo: Domande base su IDS

Ciao a tutti/e,
vi volevo domandare se lo scopo principale di un Intrusion detection
system (IDS) sia rilevare in real-time le intrusioni dall'esterno
della rete oppure quelle dall'interno (oppure piu' genericamente da
entrambe le parti). 
Nel caso in cui si considerassero anche le intrusioni dall'esterno, si
dovrebbe supporre che i firewall (se presenti) vengano
bucati/bypassati?
Infine mi potreste segnalare qualche buon sito e/o libro sugli IDS?
Grazie mille per il vostro tempo
Pippo

 entrambe le parti).
<snip>
Per fare un esempio banale, un firewall e' la porta d'ingresso di una banca
italiana. Quando accedi all'interno della porta vi e' un rivelatore di
metalli. Se si possiede qualcosa di metallo la porta non si apre fino a
quando non ti liberi della magnum 45 che avevi in tasca. Quindi il firewall
controlla l'accesso della 'banca'.
Un IDS puo essere paragonato all'allarme anti furto della banca. Se hai
ingannato la porta di ingresso perche avevi una pistola in ceramica non
rilevata dal metal detector, allora nel momento in cui tiri fuori la pistola
di ceramica e tutti iniziano ad urlare, l'allarme scatta...
Per esempio in una rete aziendale con accesso su Internet, di solito trovi
la porta 80, 25, 53 aperte in quanto sia HTTP che SMTP e DNS devono
necessariamente permettere l'accesso esterno. Ora se un attacco e'
effettuato per esempio sulla porta 80, il firewall non lo blocca visto che
per lui e' un traffico lecito. Se invece hai un IDS ben configurato, allora
l'attacco dovrebbe essere rilevato in quanto l'IDS rivela principalmente 2
cose: anomalie nel protocollo, oppure (come per gli antivirus), riconosce la
firma dell'attacco.
Quindi firewalls e IDSs sono elementi complementari in un systema da
proteggere...
Da considerare che gli IDS usano una  tecnologia relativamente nuova e
quindi non sono perfetti.
Il vero problema si verifica quando un rete si affida semplicemente alla
protezione di un firewall mal configurato...(ce ne sono molti in giro). In
questo caso e' meglio non avere il firewall affatto, visto che per lo meno
si elimina il pericolosissimo falso senso di sicurezza...
HTH
Tony H

 Infine mi potreste segnalare qualche buon sito e/o libro sugli IDS?
Su 
www.securityfocus.com
 trovi molti articoli.
Anche su 
www.snort.org
 e 
www.whitehats.com
 trovi diverso materiale.
Fabio

 
Mi permetto di aggiungere l'ovvieta' che spesso anche un IDS mal
configurato (programmato) puo' portare ad analoghi guai: se da' , come
spesso capita, troppi falsi allarmi, alla fine porta ad un certo senso
di sicurezza, o meglio di indifferenza, o comunque ad una cattiva
percezione del pericolo reale.
Qualcuno per caso ha mai usato nfr? Dicono sia buono ma ho sentito un
solo parere.
b.

 solo parere.
Di solito un IDS mal configurato (gestione dei filtri) potrebbe avere come
conseguenze un DoS 'spontaneo' o 'mirato'. Quello spontaneo e' semplicemente
generato da una serie di fattori interni, mentre quello mirato e' frutto di
ingegnosi studi da parte dell' hacker/cracker...
Riguardo a nfr la mia risposta e' simile a quella che avrei dato se qualcuno
mi avesse chiesto se e' meglio la GSX 600 o la CBR 600...Dipende se vuoi un
IDS senza compromessi, molto configurabile e che richiede una notevole
conoscenza del TCP/IP, oppure  avere una via di mezzo, ovvero facile da
utilizzare, meno configurabile...
IMAO al momento sono 3 i sistemi IDS da prendere in considerazione:
ISS, NFR e Snort. Tutti e tre fanno il loro lavoro abbastanza bene.
Personalmente preferisco Snort, ma se dovessi scegliere tra ISS o NFR allora
andrei su NFR.
Tony

 andrei su NFR.
Io sto provando ISS/RS e, francamente, non sono soddisfatto
al 100%; conto di postare al piu' presto un po' di
dati al proposito.
Un esempio su tutti: un nmap con opportuna policy di
timing passa sistematicamente inosservato; non sempre,
ma con una frequenza non irrilevante, accade che un
nmapscan passi inosservato anche semplicemente settando
il flag -f; infine, un paio di volte, mi e' capitato
di vedere andare giu' ingloriosamente il network sensor
in seguito ad un ARP scanning di L0pht Antisniff.
Qualcuno ha esperienze simili?
Conto di testare al piu' presto Snort; di NFR che mi dici?

 Conto di testare al piu' presto Snort; di NFR che mi dici?
ho avuto una simile esperienza con ISS (non rilevava nmap scanning)ma solo
con la vecchia versione. Il 'bello' di ISS e' che fa 'tutto lui'. Ha una
bella interfaccia grafica, ma e' poco configurabile. Con Snort/NFR puoi
settare i livelli di sensibilita' di 'rilevamento', puoi creare nuovi rules
ed implementarli in base alle esigenze di sicurenza del tuo network. Per
contro sono piu' difficili da  'digerire'. Sono andato a fare un corso di 5
giorni su Snort. E' stato molto utile...anche se c'e' ancora molto da
imparare....
Tony

 Tony
Ti posso chiedere dove hai fatto il corso ??
sare interessasto. 
ciao
-- 
Posted from  [62.98.224.45] 
via Mailgate.ORG Server - 
http://www.Mailgate.ORG

 sare interessasto.
Londra...
/Learning_tree. Course 588 .Deploying Intrusion Detection System: hands
on...
L'istruttore e' si e' soffermato principalmente su Snort visto che lo
considerava il migliore. Qualche volta le cose migliori sono gratis....
Tony H

 molto utile...anche se c'e' ancora molto da imparare....
Un whiplash che, prima o poi, il tempo lo trovera'...
[root@Feanor beren]# ls snort*
snort-1.8.1-RELEASE.tar.gz

 Anche RealSecure 6.0
Lo becca...dipende da che sensore hai utilizzato e come l'hai configurato.
Se cosi' fosse, ISS sarebbe out of business....
Quale tipo di sensore hai effettuato il test: Server, OS oppure Network?
Con questo non voglio dire che tutti gli scan effettuati attraverso NMAP
sono rilevati da ISS, ma ti posso garantire che tutti gli scan effettuati da
uno standard NMAP lo sono. Per standard intendo il programma compilato senza
aver effettuato alcuna modifica.
Open source...che bella invenzione....
Tony

Open source...che bella invenzione....
E che lo diciamo a fare...;)

 Non mi pare, eppure...
Forse perche' ISS non ha  CIA, FBI ed NSA che coprono le sue 'spalle'?!...
PS. questo messaggio e' un candidato per i filtri di ECHELON...(che sono
solo buoni per lo spionaggio industriale...visto che hanno palesemente
fallito il loro compito di 'difesa'...
Tony