Newsgroup: it.comp.sicurezza.windows
Titolo: [SNORT Ids] Chi lo usa e che strumenti gli ha abbinato

Ciao a tutti
Ho installato SNORT su una macchina test e lo sto utilizzando per analizzare
il traffico di rete.
Quello che vorrei sapere è se ci sono utenti Windows che lo usano e
soprattutto che strumenti mi consigliate per analizzare i file di log che
sono a dir poco ostici...
Grazie
Fabio

 che sono a dir poco ostici...
I log di snort sono tra i piu' completi e utili tra tutti gli ids. Sul
sito ufficiale trovi diversi programmilli per l'analisi, ma secondo me
il modo migliore e' farlo a manina con un visualizzatore di testi e un
filtro (grep, sed,...). L'uso di un tool di reportistica o di un altro
dipende anche da quali moduli di output utilizzi per log ed alert. Nel
complesso i piu' completi sono demarc (ora commerciale) e acid. Se non
vuoi loggare su database puoi usare snortsnarf, uno script in perl che
crea reportistica html partendo dai file di alert, sia fast, sia full.
Fabio


benissimo, mi daresti qualche consiglio per la configurazione e i tipi di
intrusione che dovrebbe monitorare visto che analizza un traffico su un
IIS5.0 interfacciato con SQL 2000
Ciao
Fabio

 traffico su un IIS5.0 interfacciato con SQL 2000.
Dipende dalla velocita' della rete, dal volume di traffico, da
quanti falsi positivi sei disposto a gestire... Io su una rete
con basso traffico loggerei il piu' possibile per poi filtrare
a posteriori, in fase di consultazione dei log. Quando vedi un
evento sospetto nel log filtrato puoi, poi, andare a vedere in
quello completo per vedere se ci sono altre informazioni utili
all'interpretazione della situazione. Le regole di default che
vengono fornite sono generiche: fattene di tue legate alla tua
realta', in modo da poter rilevare le anomalie in cui il _tuo_
server puo' incorrere. Mettile in un .rules separato da quelli
di default, in modo da aggiornare con semplicita' le segnature
quando escono gli update. Puoi provare a gestire i sensori con
IDS Policy Manager, di ActiveWorx (free).
Una possibile config potrebbe comprendere i preprocessori e le
regole che ti riporto in calce. E' una config che genera molti
"falsi positivi" (anche se su questo bisognerebbe discutere) e
che potrebbe essere pesante da gestire con elevato traffico di
rete e un sensore poco potente (perdita di pacchetti). Cose in
apparenza ridicole (come rilevare attacchi coldfusion anche se
non lo usi, ad esempio) possono servire comunque per valutare,
in linea di massima, cosa diavolo sta facendo il tizio che sta
giocando con il tuo server e che competenze ha. Ovviamente non
e' possibile esagerare e, in un ottica di riduzione del carico
del sensore, sono le prime a dover essere eliminate. Io userei
sempre i file .rules "interi", anche se contengono pattern che
non hanno senso sulla tua rete, finche' questo non porta ad un
calo delle prestazioni che porta a perdita di pacchetti. Se il
server web e il sever mssql non sono sulla stessa rete del tuo
sensore snort devi usare le clausole di limitazione del ttl in
stream4 e frag2.
[win]pcap, a differebza che su altre piattaforme, ti mostra il
numero di pacchetti droppati: periodicamente, ma soprattutto i
primi tempi, verifica che non salga troppo. Se e' eccessivo ti
devi procurare un hardware piu' performante o snellire le rule
o usare piu' sensori o usare diversi meccanismi per il logging
... o tutto quanto :) (compreso un possibile cambio di OS).
Fabio
PS1: non esiste la configurazione perfetta.
PS2: non parlare mai con nessuno della config del _tuo_ NIDS ;)
**************************************************************
preprocessor http_decode: [tue porte traffico http]
preprocessor stream4: keepstats, detect_scans, detect_state_problems
preprocessor stream4_reassemble: both, ports [porte che usi]
preprocessor portscan: [indirizzi da controllare] 4 3 [file di log]
preprocessor portscan-ignorehosts: [indirizzi dei dns]
preprocessor defrag
preprocessor frag2
preprocessor arpspoof //sperimentale: valuta se ti e' utile.
attack-responses.rules
backdoor.rules
bad-traffic.rules
ddos.rules
dns.rules
dos.rules
exploit.rules
ftp.rules     (?) //Se usi ftp
icmp-info.rules
icmp.rules
info.rules
misc.rules
netbios.rules (?) //Se usi NetBios.
policy.rules
scan.rules
shellcode.rules
smtp.rules    (?) //Se c'e' un server SMTP
sql.rules
tftp.rules    (?) //Leva tftp.exe dal server web ;)
virus.rules
web-attacks.rules
web-cgi.rules
web-coldfusion.rules
web-frontpage.rules
web-iis.rules
web-misc.rules