o IDS compara seu conteudo e cabecalho a umbanco de assinaturas de ataques, bem parecido com umanti-virus. Deve-se lembrartambem a necessidade de espelhamento (ou span) de porta se a rede for comutada(switches). Intruder Alert Axent www.axent.com Host Real Secure ISS www.iss.net Host/Rede NetProwler Axent www.axent.com Rede NetRanger Cisco www.cisco.com Rede NFR NFR www.nfr.net Rede Session Wall C.Associates www.ca.com Rede Snort Marty Roesh www.snort.org Rede Abacus Psionic www.psionic.com Host Testando osistema de deteccao de intrusao ( IDS )Infelizmente, devido a grandevariedade de vulnerabilidades, detectar uma intrusaoem sua rede nao e algosimples. E praticamente impossivel que uma pessoa detecteuma invasao de rede emtempo real ( on-the-fly ) e tome alguma acao de imediato.As acoes da sua ferramenta de IDSdevem estar diretamente relacionadas com oplano de resposta a incidentes. Naverdade a definicao de um plano de resposta a incidentes e um fator tao criticoque caso voce nao tenha um, provavelmente um teste de invasao nao ira ajuda-lomuito. Seu plano de resposta a incidentes deve abranger basicamente osseguintes pontos:Qual o objetivo do plano de respostapara cada tipo de incidente?Quais as acoes legais existentes?Serao tomadas acoes legais no caso de um incidente?Que tipo de publicidade (a respeito doataque) e permitido?Quem e responsavel por conduzir aresposta ao incidente?Quem fara parte do grupo de resposta aincidente?Que nivel de autoridade e requerido para o grupo de resposta aincidente?Como voce conduz uma resposta a umincidente esta diretamente relacionado ao tipo de negocio da sua instituicao.Os bancos, por exemplo, devem tomar algumas acoes junto a federacao nacional debancos.Apos voce ter seu plano de resposta aoincidente montado, voce pode testa-lo efetivamente e refina-lo utilizando oteste de invasao. E uma boa ideia anunciar a realizacao do primeiro teste, umavez que seu proposito e ajustar seu plano de resposta e verificar se elefunciona.A alta taxa de falso-positivos ocorrequando a ferramenta classifica uma acao como uma possivel intrusao, quando naverdade trata-se de uma acao legitima.Um falso-negativo ocorre quando umaintrusao real acontece mas a ferramenta permite que ela passe como se fosse umaacao legitima.Erro de subversion ocorrequando o intruso modifica a operacao da ferramenta de IDS para forcar aocorrencia de falso-negativo.Um bom exemplo de falso-positivo e oataque de SYN FLOOD. O simples fato de acessar um determinado tipo de paginapode gerar uma deteccao da ocorrencia de um ataque SYN FLOOD.Voce certamente nao quer que suaspaginas fiquem fora do ar a todo momento que um usuario acessar seu site. Emuito dificil definir regras que diferenciem entre atividades hostis e autorizadas.O teste de invasao pode ser utilizado com a finalidade de demonstrarefetivamente se sua ferramenta de IDS esta operando conforme o esperado eajuda-lo no refinamento das regras de forma a reduzir a taxa de falso-positivo.SecureSockets Layer (SSL)O SSL foi criado pela Netscape e foiadotado pela comunidade e e hoje o padrao para comunicacao segura pela Web. OSSL esta montado sobre a camada de transporte (TCP) e possui dois conceitosbasicos: Conexao SSL;A conexao para o SSL e uma relacaoponto a ponto. As conexoes sao transientes e estao sempre relacionadas a umasessao. Sessao SSL;E uma associacao entre o cliente e oservidor, elas sao criadas atraves de um protocolo de handshake especificodo