Newsgroup: it.comp.sicurezza.unix
Titolo: [newbie] rilevamento intrusioni

Mi servirebbero delle delucidazioni sul rilevamento delle intrusioni.
Premessa: son newbie.
Ho  due PC,  uno con  funzioni di  server (firewall,  posta, news,  web,
telnet,  wwwoffle,  ssh,  nis/nfs)  e  un  client.  Sono l'unico utente.
Il server  monta debian  2.2 e  punta a security  updates, il  client e'
aggiornato alle ultime release del sw e del kernel.
Le porte web, telnet, ssh, nis/nfs sono visibili solo all'interno.
Utilizzo la configurazione  del firewall di mrShark.  Dopo essermi letto
il manuale di ipchains ho visto che soddisfa le mie esigenze.
Ipchains logga le connessioni sulle mie porte e le scrive su syslog.
Il mio obiettivo sarebbe quello  di monitorare i cosidetti 'tentativi di
intrusioni',  ma  non  mi  riesco  ad  orientare  tra  i  vari  software
esistenti.
Il mio  dubbio e' il  seguente: se  ipchains blocca le  connessioni alle
porte che  ho chiuso,  i programmi di  logging non  possono individuarle
(suppongo che stiano dopo il firewall).
Ho  letto che  snort puo'  rilevare le  intrusioni e  rispondere tramite
ipchains. Credo che portsentry faccia lo stesso. Ma, a quanto ho capito,
non vogliono ipchains. Stesso dicasi per tcpdump. Esatto?
Il mio  obiettivo e' pero'  di continuare ad  usare ipchains con  la sua
configurazione e di  delegare a 'qualcun altro' il  compito di avvisarmi
tramite suoni di sistema, e-mail, sirene della polizia, che qualcuno sta
prendendo di  mira le mie  macchine. Non lo  faccio per paranoia  ma per
esercizio :)
Quali sono i sw che possono svolgere questo compito?
Rallentano la connessione? (uso un 56k)
Ho scritto troppe 'boiate'? :)
ciao e grazie
-- 
by Luca /-------------------------------------------
    \/ /    luca (.) albricci (at) libero (.) it
-----\/---------------------------------------------

 la connessione? (uso un 56k)
ipchains logga quel che vuoi. poi vedi tu come vedere/gestire i
dati che ti fornisce.
-- 
* Cristiano Deana - Amante del demone rosso col forcone in mano *
* Wind*ws non danneggia, i formati proprietari si'. Boicottali! *
* Il tuo HTML si e' mangiato la banda che serviva al mio reply! *
* Fai attenzione all'indirizzo modificato antispam se mi scrivi *

  dati che ti fornisce.
Ovviamente ipchains logga  tutto. Le opzioni sono settate,  ma non posso
stare tutto il tempo a guardare cio'  che viene scritto in syslog (e non
e' il  solo ipchains, ovviamente,  a scriverci) mentre navigo.  Io cerco
qualcosa  che  mi  avvisi  immediatamente di  portscan  o  tentativi  di
connessione.
Grazie per l'immediata risposta.


 ma i miei due PC sono solo una soluzione 'casalinga'.
Ok..
io ti do solo un consiglio, evita "sirene" "strilli" e "squilli di trombe", 
più in generale limiterei molto le segnalazioni dei tentativi d'accesso, 
altrimenti rischi di diventare scemo...
Ciao.
-- 
***  Per E-mail rimuovi ModE dall'indirizzo  ***
  *** Linux user # 198661 --- ICQ 33500725 ***
*** homepage 
http://web.tiscalinet.it/kailed
 ***
            *** Powered by Linux ***

esercizio :)
mario:~$ cat /usr/local/bin/logpacket
#!/bin/bash
LOG="/var/log/kernel"
tail -fn0 $LOG|while read LINE
do
  echo $LINE|egrep DENY\
  && play /usr/share/sounds/warning.wav
 
  echo $LINE|egrep REJECT\
  && play /usr/share/sounds/question.wav
 
done           
mario:~$ cat /etc/ppp/ip-up.local|grep log
/usr/local/bin/logpacket &
-- 
Ciao, Mario. - 
http://digilander.iol.it/mccmario/
"A uno ho detto: - 'Tu camminerai', e dopo due giorni
 gli hanno fregato la macchina" - Mago Oronzo
 

 Rallentano la connessione? (uso un 56k)
Non credo, se il PC ha CPU sufficiente, ormai i dati sono arrivati quando li
controlla. Al massimo puoi poi provare con altri OS piu' Network oriented quali
Net/Free/Open-BSD
-- 
 Alberto 'JCN-9000' Varesio -AIX V4.3 System Support- Phone: 
+39-011-415-8111
 EDIST SpA - Via Goito 51/A      Riding the world       Fax: +39-0270040-8636
 10195 Grugliasco (TO) ITALY     on a Honda CB500      Cell: 
+39-349-492-4769
 mailto:
A.Va...@edist.it
             mailto:
alberto...@torinofacile.it

 immediatamente di  portscan  o  tentativi  di connessione.
Innanzitutto ma syslogd e syslog.conf e puoi far loggare dove
vuoi.
A questo punto ti ci vuole un "qualcosa" che ti analizzi quel
log.
Naturalmente quel qualcosa lo devi scegliere tu in base alle tue
esigenze. Personalmente non mi piacciono i suoni o le lucine che
mi fan sembrare il pc un luna park. Io uso roottail che mi
stampa sul background (sotto X) i log del firewall. visibile al
primo colpo ma non da fastidio e non "urla" ;-)


Molto cortesemente il prode Vilya - Luca Albricci scrisse:
Messaggio a me stesso per ringraziare tutti delle risposte.
Faro' un po' di prove :)
ciao
