Newsgroup: it.comp.reti.locali
Titolo: dove mettere un sensore?

Salve.
Ho un firewall con supporto DMZ.
In Dmz ho configurato un server mail che verra' utilizzato dai client
della LAN, l'ho messo im DMZ poiche' il server deve essere accessibile 
anche da internet.
Stavo pensando di inserire anche un rilevatore di intrusioni.
Utilizzo linux quindi andrei su snort.
Come e in che punto sarebbe opportuno mettere tale sensore?
Praticamente dovrei monitorare tutto il traffico della DMZ poiche'
piu' in la' verranno installati altri server oltre al mail.
Grazie. 

 piu' in la' verranno installati altri server oltre al mail.
Direi di installare una macchina "snort" con due schede di rete;
la prima andrebbe connessa alla DMZ e la seconda alla LAN
la scheda connessa alla DMZ dovrà però avere un cavo di tipo
non standard (read only) in modo che sia impossibile "bucare"
la macchina snort e bypassare il firewall, tale cavo (ed anche
la config che ti sto suggerendo) è descritto qui
http://www.linuxjournal.com/article.php?sid=6985
quanto sopra ti permetterà di monitorare la DMZ dalla LAN ma
senza problemi di sicurezza relativi alla possibilità di bypassare
il firewall semplicemente "bucando" la macchina snort, questo
non sarà possibile grazie al cavo "readonly" che renderà la
macchina "snort" praticamente invulnerabile
Ciao
-- 
* ObiWan
DNS "fail-safe" for Windows 2000 and 9X clients.
http://ntcanuck.com
408 XP/2000 tweaks and tips
http://ntcanuck.com/tq/Tip_Quarry.htm

 
http://www.linuxjournal.com/article.php?sid=6985
bello l'articolo.. però ad un certo punto dice:
" There does not seem to be a consistent standard for which pin gets which
color wire "
AAAAAARRRRGHHHH!!
e  tia/eia 568A e 568B  dove li mettiamo? :P
ciao
Gotta

 la prima andrebbe connessa alla DMZ e la seconda alla LAN
Pensavo di inserire snort tra firewall e DMZ per monitorare in traffico
proveniente da internet verso i server in DMZ.
Che ne dici?
Successivamente potrei aggiungere un secondo sensore posto tra DMZ 
e LAN.
Ciao.


Heh... vabbè, il tipo probabilmente era in overdose (calante)
da caffeina :-) in ogni caso l'idea è buona e funziona benone
per cui penso che sia da tenere presente


 e LAN.
Beh .. l'idea della doppia scheda di rete sullo snort č semplicemente per
poter controllare/accedere alla macchina snort dalla LAN, la scheda che
č connessa alla LAN non fa sniffing in questo caso ma serve solo per il
traffico regolare, l'altra (connessa alla DMZ con il cavo read-only) invece
č quella che sniffa il traffico; lo stesso discorso potrebbe essere poi
usato
anche per sniffare il lato WAN (ed anche LAN) della rete e reindirizzare
tutti i logs ad un'unica macchina che farebbe da analizzatore/concentratore
in modo da semplificare la gestione dei vari snort, oltretutto aggiungendo
a quest'ultima macchina qualche "script" potresti addirittura "pilotare" il
comportamento del firewall relativamente agli "alert" ricevuti ;-)


 > color wire "
Beh per citare la frase da 
http://www.linuxjournal.com/article.php?sid=6985
<quote>
To make it totally invisible, use a read-only cable. The wiring diagram is
in Figure 3. These cables can be made easily with a length of Cat5 cable,
two RJ45 connectors and a crimping tool. First, strip off a half inch of the
outer insulation, and insert each wire into a slot on the RJ45 connector and
crimp. There does not seem to be a consistent standard for which pin gets
which color wire, so eyeball a commercial cable and follow its example.
Label this the hub end.
</quote>
ora, anche se il tipo non ha reso la cosa molto chiara, penso
che il discorso sui colori si riferisca al lato "read-only" del
cavo, non ad un cavo standard; ammetto comunque che
la cosa va letta un'attimo "tra le righe", in ogni caso non
penso che l'autore non conosca gli schemi di cablaggio
visto che...
<quote>
Jeffrey L. Taylor is a 30 year veteran of software engineering. He has been
using UNIX for over 25 years and Linux for over four. He currently is on
sabbatical from hardcore software development and researching and is writing
about SOHO servers and LANs. This article is an excerpt from a forthcoming
book.
</quote>
o no ?!?


 la cosa va letta un'attimo "tra le righe"
in effetti rileggendo l'articolo con attenzione si capisce che probabilmente
intendeva quello.. però alla prima lettura mi era venuto un mezzo colpo ;P
ciao!
Gotta