Newsgroup: it.comp.sicurezza.unix
Titolo: [IDS - SNORT] - Richiesta info...

Salve a tutti.
Spero di non essere troppo OT.
Da poco mi sono avvicinato a snort.
Volevo chiedervi (non ho trovato altre info) se snort può eseguire comandi
come "reazione" ad un attacco rilevato.
Un po' come fa portsentry, che però è un ids "passivo".
In pratica, avrei bisogno che, appena snort mi rileva un attacco possa
stilarmi una regola iptables simile alla seguente:
iptables -I INPUT -t filter -s [ip.sorgente.che.attacca] -j DROP
E' possibile?
Grazie infinite a tutti.
MaoX
--
MaoX

 iptables -I INPUT -t filter -s [ip.sorgente.che.attacca] -j DROP
Questo ti conviene farlo con un programma di event correlation, come
logsurfer o sec. Crei delle regole che quando vedono determinati log
provenienti da snort generano le regole iptables che ti servono.
Fabio

provenienti da snort generano le regole iptables che ti servono.
Aggiungiamo anche che e` il modo piu` facile per sbattersi fuori da
internet in dieci minuti.
/me che un ping flood con adress spoofed...
react e` sempre una _pessima_ idea.
-- 
Sex is not the answer. Sex is the question. "Yes" is the answer.
Maurizio - Tannoiser - Lemmo
Founder Member of ERLUG (Emilia Romagna Linux User Group)
http://erlug.linux.it


Personalmente mi sono sempre trovato bene con portsentry (controlla se ti
connetti a porte non consentite e ti sbatte fuori).
Inoltre mi sembra una buona cosa.
E' inutile che un ids logghi tutto se poi non c'è nessuno che interviene.
Se mi attaccano la notte e mi piallano la macchina, la mattina... sai che
consolazione avere i log :-((
Saluti e grazie a tutti per le celeri risposte.
[Spero continuiate dandomi suggerimenti :-)) ]
MaoX

 react e` sempre una _pessima_ idea.
Mi ero dimenticato di scriverlo e stavo per fare un altro post 
a questo proposito: sono sistemi che andrebbero utilizzati per 
situazioni specifiche, sapendo bene quello che si sta facendo.
Fabio

consolazione avere i log :-((
No. se ti attaccano, e ti piallano la macchina significa che hai dei
servizi _vulnerabili_.
L'accesso a servizi vulnerabili avviene su traffico "legale", ergo un sw
di react non serve ad una mazza, nei confronti della "prevenzione di
attacco".
Propone solo un modello di "security through obscurity" che come e` noto
e` quanto di piu` sbagliato in termini di sicurezza.
Anche contro un dos, e` un modo "inutile" di difendersi, perche` tanto,
l'effetto saturante viene raggiunto indipendentemente dal fatto che mi
rispondi "si ci sono" o "non c'e` nessuno".
Ma peggio ancora, davvero posso sbatterti fuori la macchina da internet
in 5 minuti. Se non ci credi, passami l'ip, firmami un liberatoria e te
lo dimostro :)
-- 
Computers are not intelligent.  They only think they are.


 lo dimostro :)
Purtroppo non ho la possibilità di firmarti niente, qui dentro la mia firma
vale 0.
Comunque se ti va di spiegarmi sarò ben lieto di imparare.
[Possibile soluzione alla tua "proposta" (correggimi se sbaglio)
Ti presenti fingendoti i server DNS "root" e ti telnetti su porte non
consentite...
Morale della favola mi taglio fuori da solo da tutti i dns mondiali...
E' corretto ?!?]
Grazie ancora.
MaoX

E' corretto ?!?]
Corretto, ma anche piu` semplice: mi basta dire al tuo ids che il mio ip
e` quello del tuo router.
fa molto piu` danno se la tua macchina non accetta piu` traffico dal
router che la manda in internet.
due passate di nmap (per stare proprio sicuri), e via.
butta via portsentry, o come giustamente dice Fabio (Panigatti), usalo
_solo_ se sai _cosa_ stai facendo, come e perche`.
approccia la sicurezza dal suo verso: esponi _solo_ servizi che _devi_
esporre (il "non si sa mai, mi puo` servire" non vale), tienili
aggiornati, utilizza facility di crittografia dove possibile, dove non
e` possibile, valuta un servizio alternativo (ssh anziche` telnet,
scp/sftp anziche` ftp, e cosi` via).
Se hai utenti, proproni cambi di password sistematici, meglio chiavi che
password, e via cosi.
Impedisci password "stupide" o indovinabili.
Facendo questo, puoi addirittura permetterti di non avere un firewall,
pensa te. :)
-- 
Ever wondered why your keyboard has so many keys? Use Emacs Gnus!
