Newsgroup: it.comp.os.linux.software
Titolo: debian e snort.

Un IDS dovrebbe essere sempre aggiornato per poter rilevare piu' attacchi
possibili.
Snort e' sicuramente un valido IDS.
La versione aggiornata di cui e' consigliato l'utilizzo per la debian stable
si trova su 
http://people.debian.org/~ssmeenk/snort-stable-i386/
.
E' la versione 2.0 aggiornata a gennaio 2004.
Vecchiotta direi.
Sarebbe meglio a questo punto prendersi i sorgenti e ricompilarlo, ma allora
perche' rendono disponibile il pacchetto deb di una versione vecchia per un
software cosi' delicato?

 software cosi' delicato?
Perche` aggiornare le firme e` piu` importante che aggiornare il
software. E le due cose potrebbero essere slegate. Cmq, la domanda e`
non-sequitur.
-- 
                          Maurizio - Tannoiser - Lemmo
                 Founder Member of ERLUG 
http://erlug.linux.it
-------------------------------------------------------------------------------

 non-sequitur.
Intendi le rules?
Mi sembra che anche quelle siano vecchiotte, o forse non ho capito bene :-)
Scusa l'ignoranza che vuol dire non-sequitur? 

* msan [10-01-2005 16:25 it.comp.os.linux.software]:

dal latino.
in un costrutto logico si utilizza non sequitur per indicare che la
conclusione non è coerente con le premesse.
ciao,
:-) Ataualpa
-- 
Impossibilità: una parola che si trova solo nel vocabolario degli
stupidi. [Napoleone]
The Gates of Hell? Linux: Open&Free! |\/| 
http://ataualpa.altervista.org

 Scusa l'ignoranza che vuol dire non-sequitur? 
Le conclusioni tratte, non sono avvalorate dalle premesse.
Es.
Ero al mare, quindi non potevo essere in ufficio
OK.
Sono calvo, quindi non potevo essere in ufficio
non sequitur.
(e` un latinismo).
-- 
                          Maurizio - Tannoiser - Lemmo
                 Founder Member of ERLUG 
http://erlug.linux.it
-------------------------------------------------------------------------------
Diplomacy is the ability to let someone else have your way.

 (e` un latinismo).
Non lo sapevo, grazie.
 

 non sequitur.
Sequitur eccome. "Qualsiasi motivo va bene pur di non lavorare", dice il 
saggio. Quindi la mia incipiente pelata è abilitata a contribuire alle 
motivazioni di oggi...
-- 
cat: .signature: No such file or directory

 Potresti darmi qualche dritta se e' possibile per operare in tal senso? 
Non solo e` possibile, ma e` quasi obbligatorio. A meno di
ridurre/vanificare di molto il senso di un nids. Se instali snort per
dire "ho un NIDS, eh!", allora ok. Ma diversamente, dovento monitorare
_la tua rete_ e nello specifico, una sirie di eventi che _tu_ ritieni
importanti, non c'e` verso che quello che arriva, in termini di rules
sia un match delle tue esigenze.
Nel manule di snort, c'e` un intera sezione che riguarda la scrittura
delle rules. E ovviamente, come succede in questi casi, trovi molte
"ricette" che possono essere piu` o meno utili o adattabili a tuoi
scopi.
Va da se che snort, come iptables, per dirne un'altro, sono software che
in nessun caso sono utili out-of-the-box (ammesso che esista il concetto
di out-of-the-box, e non sia solo un'altra delle belle parole con cui
riempire il nulla). Se ti sono sufficenti ootb, forse, non ti serve un
NIDS.
-- 
                          Maurizio - Tannoiser - Lemmo
                 Founder Member of ERLUG 
http://erlug.linux.it
-------------------------------------------------------------------------------
Did you know that "Gullible" is not in the dictionary?

 motivazioni di oggi...
Rotfl. ;)
-- 
                          Maurizio - Tannoiser - Lemmo
                 Founder Member of ERLUG 
http://erlug.linux.it
-------------------------------------------------------------------------------


 NIDS.
:-( non ho capito, in che senso out-of-the-box?

 :-( non ho capito, in che senso out-of-the-box?
Con la config di default. 
Maurizio ti sta dicendo che non ha nessun senso usare snort con una
config di default.
Snort fondamentalmente ti avverte quando succede qualcosa di strano,
ma il punto e` che questo ``strano'' e` diverso caso per caso.
Quindi non ha nessun senso usare regole nuove o vecchie, quando non
sai quello che stai facendo; cerca di capire prima -se- snort ti
serve, e poi a capire *a cosa* ti serve.  Puoi puoi adattarlo e
inziarlo ad usare seriamente.
+++
Per inciso (purtroppo) non puoi nemmeno usare una tecnica del tipo:
attivo tutte le regole in modo da avere piu` info possibili.  Nulla 
di piu` sbagliato, la prima volta che ho provato a fare cosi` mi sono 
trovato l'HD pieno in 3/4 minuti.
HTH, ciao
-- 
Vuoi fare colpo su di lei con me?
Fai colpo su di lei con me! Fai colpo su di lei con me!
[Dr. Gonzo : Paura e delirio a Las Vegas]

 
http://snort.infotex.com/
Fammi capire quindi.
Scarico le varie rules e le sostituisco a quelle che mi sono state
installate dal pacchetto deb di snort?
Ovviamente poi dovro' adattarle alle mie esigenze.

 Ovviamente poi dovro' adattarle alle mie esigenze.
IMHO non e` questo il percorso (pero` non sono un esperto di snort,
anzi) ma piuttosto:
1. Ti chiarisci quali sono le tue esigenze
2. Studi un po' i gruppi di regole e vedi quali ti possono essere utili[1]
2. Scarichi dei template e scrivi le tue regole personalizzate
Non il contrario ;-)
[1] Non tutte le regole ti saranno utili probabilmente, e, anzi,
possono quasi essere dannose (se ti si riempiono i log il NIDS perde
la sua importanza IMHO)


 Che ne pensi?
Quello che ho gia` scritto. Non e` un motivo sufficiente per toglierlo
dal repository.
Che possa avere, "out of the box" un utilita` marginale, siamo
d'accordo, del resto, nemmeno e` un tool nato per questo. Quindi e` per
questo che il ragionamento non porta da nessuna parte.
_SE_ ritieni di non aver bisogno di snort, il fatto che sia o meno
presente nel repository, con un maint nuovo, vecchio, o ferrarelle, poco
importa.
_SE_ ritieni di aver bisogno di snort, _SAI_ che il pacchetto "as is" e`
poco sensato. Cosi` come "apt-get install iptables" non ti installa le
"regole", ma il motore, cosi _puoi_ usare snort, con il livello di
feature presente nel pacchetto.
_SE_ ritieni di aver bisogno di feature che sono in una versione
successiva, significa, tra le altre cose, che ci si aspetta che tu
sappia cosa fare.
In tutti questi casi, il fatto che il pacchetto sia non sia presente in
repository non vedo come modifichi le cose. E nel secondo caso, il fatto
che lo sia, e` un vantaggio.
-- 
                          Maurizio - Tannoiser - Lemmo
                 Founder Member of ERLUG 
http://erlug.linux.it
-------------------------------------------------------------------------------
Education is what remains after has forgotten everything he learned in school.

 la sua importanza IMHO)
Allora fatemi capire bene.
Ho letto un po doc su internet.
All'atto dell'installazione del pacchetto snort vengono installate ed
attivate una serie di rules di default.
Se ho ben capito, come prima cosa tra tutte queste rules devo
disattivare quelle che ritengo non mi servano, per esempio quelle
relative al netbios se non ho macchine windows da monitorare.
1) Eventualmente poi, se le rules di default non sono sufficienti,
dovrei scriverne alcune personalizzate.
Spero che fin qui sia corretto. 
Il mio dubbio e' che se, ad esempio, escono fuori fuori dei nuovi
exploits, sicuramente snort non se ne accorgera' essendo le rules non
aggiornate.
Bisognerebbe allora documentarsi per poter conoscere bene il tipo di
exploit e scrivere la relativa rule.
Tutto questo, la documentazione relativa all'exploit, comporta tempo e
magari nel frattempo stanno penetrando nel server.
Bisognerebbe quindi scaricare periodicamente delle rules aggiornate da
uno dei link datimi in un precedente post e tornare al punto 1)?