Newsgroup: it.comp.os.linux.sys
Titolo: IDS.

Qualcuno ha a che fare con sistemi di intrusion detection?
Vorrei dei suggerimenti su come posizionare all'interno di una rete un IDS.
Dovrei monitorare il traffico di un segmento di rete in DMZ sul quale vi
sono alcuni server pubblici, mail, web.
Penso che l'unica sia collegare la macchina con l'ids, snort, ad una porta
dello switch dove viene mirrorato tutto il traffico.
Siete d'accordo?

 dello switch dove viene mirrorato tutto il traffico.
Valuta quale sia la banda aggregata occupata dalle macchine della rete.
Se e' compatibile con un hub 10/100 puoi pensare d'usare dispositivi di
questo tipo, invece che uno switch gestibile con una porta monitor, con
un consistente risparmio in termini economici. Se vai oltre i 100 mbps,
devi considerare uno switch con almeno una porta gigabit, a meno di non
ritenere accettabile la potenziale presenza di traffico non analizzato.
Pero' non penso che sia molto in topic. Anche se il sensore fosse linux
based :-)
Fabio

 ritenere accettabile la potenziale presenza di traffico non analizzato.
Non sono sicuro di aver capito bene.
Abbiamo una connessione permanente ad internet con banda di circa 4M/b.
Uno switch collegato all'interfaccia DMZ del firewall nel quale switch sono
collegati i vari server pubblici.
La banda del segmento in DMZ e' di 100M/b, quindi ad ogni server e'
riservata tale banda essendo collegati allo switch.

 riservata tale banda essendo collegati allo switch.
Una cosa e' la banda teorica, un'altra e' la banda che viene effettivamente
utilizzata. Se, per esempio, tutte queste macchine comunicano solo verso il
mondo esterno tramite il link a 4 Mbps questo sara' anche il massimo carico
dello switch. In una situazione come questa uno switch 10/100 potrebbe pure
essere sprecato, in quanto un hub da 10 Mbps sarebbe stato sufficiente. Se,
invece, 'ste macchine in DMZ comunicano anche verso altre reti tramite link 
piu' veloci o, soprattutto, tra di loro, con un utilizzo di banda superiore
ai 4 Mbps del link esterno, il discorso sarebbe stato diverso. Il problema,
pero', non si pone: avete gia' lo switch, mi e' parso di capire dall'ultimo
tuo post, e quindi avete fatto gia' l'investimento per il suo acquisto, che
fosse giustificato o meno. A questo punto, la valutazione da fare e' sempre
comunque quella della quantita' di traffico effettivamente generata in DMZ:
se supera i 100 Mbps complessivi, dovrai aver cura di mirrorare il traffico
su una porta a 1 Gbps, su cui attaccare il tuo sensore, se non vuoi perdere
del traffico. Se lo switch non ha una porta gigabit, dovrai valutare se val
la pena d'acquistarne uno diverso, acquistare un [costosissimo] network tap
o anche decidere che puoi permetterti, nella tua valutazione dei rischi, di
perdere il traffico che non riuscirai analizzare. Quest'ultima opzione puo'
anche non essere da scartare, in generale (dipende da molti fattori).
Io, di solito, non metto uno switch in una DMZ: un hub 10/100, normalmente,
e' piu' che sufficiente e non ti complica la vita con l'ids, perche' limita
intrinsecamente il throughput del traffico da analizzare a quello gestibile
dalla porta su cui verra' attaccato il sensore.
Fabio

 dalla porta su cui verra' attaccato il sensore.
Quoto. Faccio uguale.
-- 
                          Maurizio - Tannoiser - Lemmo
                 Founder Member of ERLUG 
http://erlug.linux.it
-------------------------------------------------------------------------------
Fixing Unix is easier than living with NT.

 quello gestibile dalla porta su cui verra' attaccato il sensore.
In effetti lo switch c'era' gia', non so il motivo di questa scelta
piuttosto che un hub.
Poi chiedo.
Intanto un'altra domanda.
Leggendo un po di documentazione in genere si suggerisce di memorizzare i
vari alert prodotti da snort in un database.
In una configurazione tipo di prevedeva di agganciare, attraverso
un'interfaccia senza ip, l'ids alla dmz mentre una seconda interfaccia era
collegata alla lan interna nella quale veniva ospitato un database server
nel quale venivano memorizzati gli alert.
Perche' mettere il database in una macchina diversa?
Non sarebbe conveniente installarlo sulla stessa macchina dove risiede
l'ids? 

 l'ids? 
Potresti voler convogliare in un unico DB i dati di più sonde, 
semplicemente...
-- 
cat: .signature: No such file or directory

 l'ids? 
Nel tuo caso lo farei, in prima battuta, salvo spostarlo nel caso
ci fossero problemi di prestazioni (poco probabile nel tuo caso).
Il giorno che metterai altri sensori potrai decidere di cambiare,
eventualmente.
Ma non rinuncerei ai log in locale, in formato tcpdump o unified,
ne agli alert in formato testo da qualche parte (anche syslog) da
controllare con sec.
Fabio

 controllare con sec.
Ok, metto il database sulla stessa macchina.
Un consiglio per l'installazione in rete.
Collegherei l'ids alla span-port dello switch, mi e' stato detto che sara'
molto improbabile che si generi un traffico superiore ai 100M/b, attraveros
un'interfaccia senza ip.
La seconda interfaccia la collegherei alla lan interna in modo da poter
gestire l'ids da remoto ma anche per dare la possibilita' agli altri
sysadmins di poter visualizzare dei reports tramite web, potrei installare
per esempio ACID. 

 per esempio ACID.
Se pensi gia' di dover gestire diversi utenti potresti provare BASE, un fork 
di ACID con caratteristiche multi[utente|ruolo]. Penso, in realta', che BASE
potrebbe essere considerata una scelta migliore di ACID anche in assoluto se
si considera l'attivita' che ferve attorno ai due progetti (nulla per ACID e
notevole per BASE). Guarda anche sguil (orientato all'analisi in tempo reale
da parte di personale dedicato... ma anche no).
Fabio

 all'analisi in tempo reale da parte di personale dedicato... ma anche no).
Come al solito sulla debian stable non ci sono i pacchetti precompilati, che
palle.