Newsgroup: it.comp.sicurezza.unix
Titolo: IDS per Linux

Ciao a tutti
  qualcuno di Voi sa di programmi Intrusion Detect System per Linux?
Aspetto Vostre news.
                        ALEX

>   qualcuno di Voi sa di programmi Intrusion Detect System per Linux?
snort

 snort
Per fare il bastiancontrario, dico ntop (anche se non è solo quello)
-- 
~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
The Skull says:
The old signature is gone...
Won't you suggest me a new one?!?

 snort
io uso snort da un annetto... e devo dirti mi trovo benissimo!!!!!!!!!
Se poi ci metti insieme acidlab (tool di visualizzazione e statistiche web
per snort....).. va ancora meglio!!!! 
ciau

 per snort....).. va ancora meglio!!!!
L'unico problema, almeno per chi non e' "expert",  e' configurarli...
Rik
-- 
http://counter.li.org/
Registered Linux user number 332265

 Per fare il bastiancontrario, dico ntop (anche se non è solo quello)
Ntop non e' un IDS.

 Ntop non e' un IDS.
risposta sbagliata :-D :
ntop[219]: Host [x.x.x.x] sent UDP data to a closed port of host
 [y.y.y.y:50881] (scan attempt?)
ntop[219]: Detected ICMP msg [type=TIMXCEED/code=0] z.z.z.z->x.x.x.x
ntop[219]: Detected ICMP msg [type=TIMXCEED/code=0] z.z.z.z->x.x.x.x
ntop[219]: Host [x.x.x.x] sent UDP data to a closed port of host
 [w.w.w.w:53] (scan attempt?)
(domando scusa per il wrap e non aggiungo il log binario dei pacchetti
sospetti in formato pcap)
come detto, non è *solo* un IDS e non lavora su firme ma sulle anomalie
"comportamentali", ma fa comunque un lavoro dignitoso (e complementare)...
Hola...


 "comportamentali", ma fa comunque un lavoro dignitoso (e complementare)...
Ma te hai una minima idea di cosa sia un IDS? A quanto pare no.

 Ma te hai una minima idea di cosa sia un IDS? A quanto pare no.
Se lo dici tu ti credo...
Illuminami... :-D


 Illuminami... :-D
Ah, visto che finalmente ho trovato dove diavolo era finito il bookmark,
consiglio questo:
http://luca.ntop.org/LightweightIDS.pdf
poi se vuoi la manpage delle reules di ntop:
http://olympus.het.brown.edu/cgi-bin/man2html?ntop-rules+8
Comunque, a tua disposizione per continuare la disquisizione su cosa è un
IDS, che al momento vedo un po' arrancare...
Saluti...


 essere usato come un nIDS.
Ho l'impressione di aver sentito l'eco...


scusate l'intromissione ma la descrizione di ntop fatta dagli stessi
sviluppatori e':
ntop is a network probe that shows network usage in a way similar to what
top does for processes. In interactive mode, it displays the network status
on the user's terminal. In Web mode, it acts as a Web server, creating an
HTML dump of the network status. It sports a NetFlow/sFlow
emitter/collector, an HTTP-based client interface for creating ntop-centric
monitoring applications, and RRD for persistently storing traffic
statistics.
non e' esattamente un IDS... cioe', un IDS fa tutte queste cose ma non solo!
ntop e' un monitor per il traffico di rete ma non rileva intrusioni! al
limite quello lo fai tu leggendoti i log...
darko
-- 
moio x la lyberta'
http://www.autistici.org/darko

 al limite quello lo fai tu leggendoti i log...
aggiungo anche che i log di ntop non sono sufficenti, in quanto, comunque,
ntop non rileva (e tantomeno blocca) traffici sospetti, tentativi di
exploit, port-scanning, ecc...


 limite quello lo fai tu leggendoti i log...
Mai detto che ntop *sia* un IDS, ho detto che ne ha alcune funzionalità...
Lo scritto cui tu ti riferisci è come ntop è nato, ovvero come tool per
l'analisi del traffico di rete.
Nel corso del tempo, ntop è stato esteso in funzionalità, fino ad
integrare alcune funzionalità di rilevamento e segnalazione delle anomalie
sulla rete.
Una volta che ntop ha una visione abbastanza "corretta" di quello che
passa sulla rete, permette di sollevare notificare alert (nei log
ovviamente, ma non ritengo che la cosa indispensabile dell'ids sia il
parse che ti notifica via winpopup...) in funzione di anomalie
riscontrate e di regole (appunto, ntop-rules come manpage e come file,
almeno su debian...).
Il vantaggio di ntop è il fatto che, una volta creato un set di regole
abbastanza ben pensato, è possibile utilizzare lo stesso indipendentemente
dalla "topologia fine" della rete in cui lo si "cala": quando nelle regole
di ntop ti riferisci al "dns" o al "router" ntop adatta la definizione a
quello che sulla rete ha individuato come tale (se routa è un router, se
risponde a interrogazioni dns è il dns, ecc...) tramite il proprio motore
di analisi del traffico, permettendoti ad esempio di far saltare fuori il
singolo pacchetto in cui una macchina non nota come router inizia a
routare (es: arp poisoning) in maniera adattiva.
Indubbiamente, il lavoro per portare ntop a essere un *gran* ids è ancora
molto e manca anche la letteratura su cui basare le proprie
implementazioni, per cui lungi da me affermare che può sostituire snort o
altri IDS "che fanno gli IDS", ma di sicuro la logica su cui basa il
proprio funzionamento, molto diversa da quella di payload match fatta da
snort, ne fa un buon candidato ad affiancarlo.
Basta prendersi la briga...
D'altra parte, l'avevo pur premesso che era la voce del
bastiancontrario... ;-)


 exploit, port-scanning, ecc...
se non dai alcuna regola, logga poco o niente...
Ma, mi pare, altrettanto vale praticamente per tutti gli ids, solo che lì
le regole le hai già, di solito...
Riguardo al bloccare, non ritengo sia compito dell'ids in sè (non mi piace
molto l'idea dell'ids inline), ma è questione di gusti.
Altrettanto, ci sono anche ids che inline non ci vanno, non penso sia una
discriminante...
