Newsgroup: it.comp.os.linux.sys
Titolo: mi baso sulla vostra esperienza.

Per mettere su un NIDS per monitorare il traffico da e verso dei server in
DMZ preferireste usare linux o openBSD? 

 DMZ preferireste usare linux o openBSD? 
Ragionevolmente, qui, ti risponderanno linux, se vai su
it.comp.os.openbsd, ti consiglieranno obsd. Mi sembra pointless.
Oltreche, se dipende dal sw (e dipende dal software visto che i due
sistemi non hanno un nids integrato), e quindi parliamo di snort e amici
vari, sono disponibili su entrambe le piattaforme.
Se parliamo di altro software, dipendera` dal software.
-- 
                          Maurizio - Tannoiser - Lemmo
                 Founder Member of ERLUG 
http://erlug.linux.it
-------------------------------------------------------------------------------
Did you know that "Gullible" is not in the dictionary?

 
Si certo mi aspettavo questa risposta :-)
Piuttosto volevo un parere da chi ha avuto modo di provare su entrambi i
sistemi.

 DMZ preferireste usare linux o openBSD?
Snort funziona egregiamente su entrambi, con alcune piccole differenze
poco rilevanti. L'unico aspetto da tenere in considerazione e' che sui
*BSD, sia che ti installi da ports che da pacchetto precompilato, di
solito non hai l'ultima versione disponibile. Puoi sempre compilarlo da te
dai sorgenti, ma su OBSD privilegerei L'installazione dai ports.
Comunque,io per esempio uso i ports su OBSD ma mi compilo da sorgenti su
MacOSX (altro BSD, come suppongo tu sappia).
Buona sniffata (e attento alle implicazioni legali)!!!
C.
-- 
Per contattarmi, toglimi il gesso!
Hi, I'm a .signature virus! Copy me to your .signature file and
help me propagate, thanks!

 dei server in DMZ preferireste usare linux o openBSD?
Ipotizzo che si parli, implicitamente, di snort.
L'adeguadezza del sistema operativo dipende da diversi fattori 
ma, in genere, si puo' semplificare molto la decisione in base
alla quantita' di traffico da analizzare e all'hardware che si
ha a disposizione. Se si parla di [win]pcap standard con snort
finche stai intorno alle decine di Mbps non c'e' assolutamente
nessuna differenza (ipotizzando hardware decente). Al di sopra
potrebbero esser necessarie ulteriori indicazioni su hardware,
set di regole, composizione del traffico e tipo di logging che
devi adottare. Se andiamo oltre certi limiti superiori (per il
traffico) o inferiori (per l'hardware), allora bisogna entrare
per benino nello specifico, specie a livello di hardware e del
framework di acquisizione del traffico.
Considera che per la fase della mera acquisizione, utilizzando
[win]pcap, le scelte piu' indicate dovrebbero essere freebsd e
windows xp, anche se non ho molti dati su obsd. In alternativa
bisogna utilizzare framework diversi per la cattura (PF_RING o
pcap-mmap) con linux. Ma son tutte considerazioni che lasciano
il tempo che trovano, qualora non ci siano enormi quantita' di 
traffico o qualora i colli di bottiglia del sistema si trovino
altrove.
Parlando di snort, a livello di feature, non ci sono rilevanti
differenze tra le varie implementazioni *nix salvo un pochetto
di tuning di pcap. Quindi, IMHO usa quello dei due che conosci
meglio, se non hai grandi quantita' di traffico, oppure se non
c'e' dimistichezza con niuno dei due, prendi in considerazione
freebsd.
Ma cosi'... stiamo andando OT :-)
Fabio

 DMZ preferireste usare linux o openBSD?
Metti quella con la quale ti senti più a tuo agio
In verità, un elemento discriminante potrebbe essere la capacità
di cattura di pacchetti da parte dei due sistemi operativi sotto
heavy load, ma non saprei dirti moltissimo a riguardo, su due piedi
-- 
"Io mi sarei aspettato un intervento più misurato dall’assessore Ascoli, 
nel senso che, ospite in questo paese, poteva avere maggiore rispetto..."
(Giannotti di Forza Italia all'assessore Ascoli, ebreo italiano)
http://snipurl.com/antisemitafi

 C.
Quali implicazioni legali?
Devo monitorare (con snort) il traffico al fine di verificare eventuali
tentativi di attacco o accessi non autorizzati verso i server.



Il problema e' che, per vari motivi, se non configuri opportunamente le
regole di snort (ma anche se le configuri bene, purtroppo, come side
effect) rischi di trovarti nei log qualche traccia che potrebbe essere
considerata un dato sensibile dei tuoi utenti. E' una questione di
esperienza, dipende anche molto da come sono configurati i filtri sulla
tua rete, e comunque valuta bene anche se sei autorizzato a fare questa
cosa, entro che limiti, se ti serve il consenso degli interessati etc.
Purtroppo la questione e' complessa (tra l'altro e' stata anche discussa
fin troppo animatamente su questo ng in passato) e la normativa italiana
e' acora tropo acerba e non aiuta certo a fare chiarezza (questo a detta
di ricercatori universitari che si occupano proprio di diritto in
informatica).
Per quanto riguarda quello che ti ha scritto whiplash, riguardo alle
prestazioni, ho confrontato le prestazioni di alcune macchine che avevo su
una lan con circa 150 macchine (prevalentemente workstation che non
offrono servizi verso l'esterno) ed una connessione adsl verso Internet.
Le macchine vari PC (PIV e Athlon XP) ed un Mac con OpenBSD, NetBSD e
Linux e dotate di NIC 100baseTX tranne una, 10baseT) e sono su reti
switchate con la stessa velocita'. L'unica macchina che ha perso pacchetti
e' quella con la scheda piu' lenta ed il processore piu' scarso (un PII
350), le altre hanno avuto tutte un comportamento confrontabile. Quindi mi
associo al suo suggerimento, metti il sistema con il quale ti trovi
meglio. Altre "discriminanti" possono essere il che cosa la macchina in
questione deve fare: e' solo per il monitoraggio della rete (consigliato)?
Funge anche da firewall (possibile)? Offre anche altri servizi (vivamente
sconsigliato)?
Piu' delicato e' il discorso se vuoi mettere un sistemino di analisi dei
log (io ho esperienza con snortalog e snortsnarf) sulla stessa macchina;
in questo caso quando il file alert supera i 3 MB di dimensione (cosa
tutt'altro che rara) sia l'uno che l'altro (entrambi sono scritti in Perl)
tendono ad assorbire tutte le risorse delle macchine *BSD di cui sopra.
Sulla macchina Linux nel periodo di test non ho mai raggiunto un carico
simile, quindi non so dirti. Io alla fine ho optato per OpenBSD, ma solo
perche' mi trovo meglio con il suo filtro di pacchetti rispetto a quello
di Linux.
Spero di non averti confuso ancor piu' le idee, e mi scuso per la
lunghezza.
Ciao
