Newsgroup: it.comp.reti.locali
Titolo: dove installare snort.

Salve.
Ho un firewall/gateway attraverso il quale i client di una lan accedono
ad internet.
Nella DMZ di tale firewall ci sono alcuni server, mail, www, ecc.
Vorrei monitorare il traffico che proviene da internet verso tali server
per rilevare eventuali tentativi di intrusione.
A tal proposito pensavo di installare snort.
Credo dovro' avere un pc dedicato a tale scopo.
Ma in quale punto della rete andrebbe installato?
Grazie.

 ha scritto nel messaggio
news:2lppmtF...@uni-berlin.de...

Il punto (o i punti)  in cui  inserire un ids, e' un argomento abbastanza
delicato, e per dare una risposta biogna che tu abbia ben chiaro due cose:
1) Quale tipo di attacco vuoi monitorare
2) Quale segmento della tua rete vuoi monitorare
Ti posso solo dare delle linee guida:
Ritengo che un sistema ids debba poter monitorare tutto il traffico, anche
quello che viene filtrato dal firewall.
Nel tuo caso  credo che uno snort tra il router e il firewall, e uno a
"valle", del firewall  sel segmento DMZ dovrebbe bastare.
Ma ripeto che su questo argomento ci sia molto da dire. Passo la palla agli
amici guru che ne sanno molto piu' di me.
Ciao.
---
Outgoing mail is certified Virus Free.
Checked by AVG anti-virus system (
http://www.grisoft.com
).
Version: 6.0.720 / Virus Database: 476 - Release Date: 14/07/2004

 Ma in quale punto della rete andrebbe installato?
Beh ... se la macchina Snort è abbastanza carrozzata
potresti pensare di installarci tre schede di rete (almeno)
e connetterle alla WAN, DMZ e LAN, ovviamente per la
connex WAN e DMZ sarà il caso di usare un cavo fatto
in modo particolare (read-only) 
http://tinyurl.com/23x4v
in questo modo Snort sarà in grado di "leggere" tutto il
traffico ma non ci saranno problemi di sicurezza
Ciao

 in modo particolare (read-only) 
http://tinyurl.com/23x4v
una volta qualcuno mi disse che un sistema ids fatto in quel modo è ai 
margini della legalità.... se ne potrebbe fare un uso improprio...
-- 
"se vuoi aiutare qualcuno a sfamarsi non regalargli del pesce, 
insegnagli a pescare"

 margini della legalità.... se ne potrebbe fare un uso improprio...
Uh ... in che senso scusa :-) ?

 Uh ... in che senso scusa :-) ?
un cavo 'read-only' riceve quello per cui il sistema è stato impostato 
ma non risponde ad alcun sollecito... adesso non ricordo bene com'è la 
storia ma se non sbaglio un pc con installato - ad esempio - openBSD, 
inserito in una rete, senza assegnazione di indirizzo IP,  può essere 
usato come sniffer silenzioso in grado di intercettare qualunque cosa 
senza svelare la propria presenza...


 senza svelare la propria presenza...
Esatto, lo scopo è esattamente quello !! Ci mancherebbe altro..azz
uno sniffer attivo :-P ... oltretutto usare un cavo readonly è l'unico
sistema sicuro per poter sniffare tutto il traffico "fuori" dal firewall ;-)
Ciao

 sistema sicuro per poter sniffare tutto il traffico "fuori" dal firewall ;-)
'un'arma non nasce mai buona o cattiva... dipende dalle mani della 
persona che la impugna...' ;-)


senza svelare la propria presenza...
E quindi? Dipende dove lo metti. Se su una rete altrui, commetti
un'azione illegale. Sulla tua rete fai ciò che vuoi.
--
A: Because it messes up the order in which people normally read text.
Q: Why is top-posting such a bad thing?
A: Top-posting.
Q: What is the most annoying thing on usenet and in e-mail?

 un'azione illegale. Sulla tua rete fai ciò che vuoi.
se per 'rete tua' intendi quella della 'tua' azienda sulla quale, 
attraverso lo strumento, controlli il contenuto del traffico generato 
dai tuoi dipendenti *è* un'azione illegale...


dai tuoi dipendenti *è* un'azione illegale...
Né più né meno che utilizzare un proxy con logging attivo.


 
non il traffico in/out ma il contenuto, ad esempio, di una mail, una 
passwd...


passwd...
Dipende, appunto, da cosa registri e cosa memorizzi.


 Dipende, appunto, da cosa registri e cosa memorizzi.
stiamo dicendo la stessa cosa... ad ogni modo è reato anche anche se lo 
fai sulla 'tua' rete di casa per sniffare il contenuto delle mail che 
tua moglie manda a tua suocera per parlare male di te... :-)
	markus



Pensavo in effetti di utilizzare due schede di rete e collegare snort
subito dopo il firewall, tra firewall e DMZ, per monitorare il traffico
da e verso i server in DMZ.
O sarebbe meglio metterlo prima del firewall?
E' una novita' invece la terza scheda di rete per monitorare anche la
lan.
Pensavo eventualmente di utilizzare un'altra macchina ..... meglio ....
me la risparmio.
Da tener conto pero' che in realta' la lan e' composta da tante reti
classe C ubicate in edifici lontani tra loro e collegate attraverso dei
routers e degli switch.
Non so se in realta' potrei monitorare tutto il traffico interno.
Ciao.

 Non so se in realta' potrei monitorare tutto il traffico interno.
Beh .. potresti limitarti a monitorare il traffico tra la LAN ed il firewall
Ciao ;-)