Snort: slave sensor

Le
Steph
Bonjour,

Je reviens à l'assaut, désolé d'être bête et discipliné, après la
lecture de http://www.certa.ssi.gouv.fr/site/CERTA-2002-INF-002/index.html
je veux installer un ids selon le shéma suivant. Mes moyens étant
limités, je n'ai pas la possibilé d'avoir une appliance en parefeu, elle
sera remplacée par un routeur avec FW SPI, selon ce shéma donc:
http://www.winsnort.com/data/images/ids.gif

Ma question 1 donc:
Que dois-je mettre comme matériel faisant slave sensor ?

Dans une autre discussion (sur fcre) on m'a parlé de hub ethernet, mais
difficile à trouver parait-il. Est-ce celà?:
<http://www.actn.fr/productlistgen.php?tsearchúMSEARCH&CAT=RE&FAM4&SFA1>

Ma question 2:
Pour l'utilisation de TCPDump, l'installer ainsi convient-il ?

BoxADSL PC + TCPDump Routeur Lan

Ma question 3:
J'ai une sortie DMZ sur mon routeur FW SPI, où je peux mettre un PC avec
un server WEB, FTP, etc, et bien sûr Snort. Est-ce que la totalité du
trafic envoyé vers mon IP va-t-il être reçu par ce PC ? Ou seulement
tout le trafic qui n'a pas été initié par 1 des PC de mon Lan ?

Comme vous le voyez je patauge, mais je veux comprendre/apprendre, et
n'hésitez pas à me reprendre si les termes que j'emploie ne sont pas
appropriés.

Merci pour vos éclaircissement éventuels.

--
Steph
Enlever l'.adressebidon.invalid pour m'écrire en privé
Vidéos High-Tech et Jeu Vidéo
Téléchargements
Vos réponses Page 1 / 3
Gagnez chaque mois un abonnement Premium avec GNT : Inscrivez-vous !
Trier par : date / pertinence
Pascal Hambourg
Le #877679
Salut,


Dans une autre discussion (sur fcre) on m'a parlé de hub ethernet, mais
difficile à trouver parait-il. Est-ce celà?:


Il faut se méfier de la dénomination, car il n'est pas rare qu'un
soi-disant "hub" soit en réalité un switch. J'ai même vu un "switching
hub" qui était un banal switch. Ici l'absence de support du fast
ethernet 100Base-T* et la présence d'un port BNC et d'un voyant de
collision sont des indices laissant penser qu'il s'agit bien d'un hub.
Mais purée, qu'il est cher ! J'avais payé beaucoup moins pour un hub de
caractéristiques identiques... en 2002. L'inconvénient du hub est le
fonctionnement en 10 Mbit/s half duplex seulement, donc avec des collisions.

Ma question 2:
Pour l'utilisation de TCPDump, l'installer ainsi convient-il ?

BoxADSL --- PC + TCPDump --- Routeur --- Lan


Oui, comme déjà dit dans le forum ethernet. Le plus simple serait que le
PC avec tcpdump fonctionne en pont transparent.

Ma question 3:
J'ai une sortie DMZ sur mon routeur FW SPI, où je peux mettre un PC avec
un server WEB, FTP, etc, et bien sûr Snort. Est-ce que la totalité du
trafic envoyé vers mon IP va-t-il être reçu par ce PC ? Ou seulement
tout le trafic qui n'a pas été initié par 1 des PC de mon Lan ?


Il faut consulter le manuel du routeur. Généralement la DMZ reçoit
seulement le trafic entrant qui n'est pas explicitement destiné à une
autre adresse.

Fabien LE LEZ
Le #877442
On 29 Sep 2007 15:12:41 GMT, Pascal Hambourg :

sont des indices laissant penser qu'il s'agit bien d'un hub.
Mais purée, qu'il est cher !


Tant qu'à faire, un switch "haut de gamme" avec un port spécialement
prévu ?

Sinon, si on veut du matériel d'une vieille technologie, je recommande
le marché de l'occasion : 2xmoinscher.com et priceminister.com par
exemple. Ça ne m'étonnerait pas que l'OP trouve sur ces sites un hub à
quelques euros.

Pascal Hambourg
Le #877440
On 29 Sep 2007 15:12:41 GMT, Pascal Hambourg :

sont des indices laissant penser qu'il s'agit bien d'un hub.
Mais purée, qu'il est cher !


Tant qu'à faire, un switch "haut de gamme" avec un port spécialement
prévu ?


Je voulais dire "cher pour ce que c'est" : 74 ¤. Ça se trouve, des
switches avec port miroir à ce prix ?


Steph
Le #877439
Le 29/09/2007 18:31, Fabien LE LEZ disait:
On 29 Sep 2007 15:12:41 GMT, Pascal Hambourg :

sont des indices laissant penser qu'il s'agit bien d'un hub.
Mais purée, qu'il est cher !


Tant qu'à faire, un switch "haut de gamme" avec un port spécialement
prévu ?

Sinon, si on veut du matériel d'une vieille technologie, je recommande
le marché de l'occasion : 2xmoinscher.com et priceminister.com par
exemple. Ça ne m'étonnerait pas que l'OP trouve sur ces sites un hub à
quelques euros.


En cherchant hub ethernet, j'ai trouvé ça:
http://www.2xmoinscher.com/INFO/detail.asp?id67107
et pléthore sur Price Minister:
http://www.priceminister.com/nav/Informatique/kw/hub+ethernet
Quelle spécification exacte doit apparaitre dans le descriptif détaillé
pour que le matos réponde parfaitement à mes besoins ?

--
Steph
Enlever l'.adressebidon.invalid pour m'écrire en privé


Nina Popravka
Le #877438
On 29 Sep 2007 14:06:53 GMT, Steph

Merci pour vos éclaircissement éventuels.


Si mes souvenirs sont exacts, un de vos buts était d'observer les
méchancetés qui vous agressaient pendant la navigation.
Pour ça, il faut soit que la sonde tourne sur la machine qui navigue,
soit que vous mirroriez le port de la machine en question.
Parce que si la sonde est sur une autre bécane en DMZ, elle risque pas
de voir ce traffic là.
--
Nina

Nina Popravka
Le #877437
On 29 Sep 2007 17:38:33 GMT, Pascal Hambourg

Je voulais dire "cher pour ce que c'est" : 74 ¤. Ça se trouve, des
switches avec port miroir à ce prix ?


J'avais vaguement cherché l'an dernier, et j'avais rien trouvé à moins
de 3 ou 400 euros. Mais bon, j'avais pas tout écumé, non plus...
J'ai donc décidé que je continuerais à jouer avec snort sur ma bécane,
en dmz, comme d'hab :-)
--
Nina

Steph
Le #877436
Le 29/09/2007 20:03, Nina Popravka disait:
On 29 Sep 2007 14:06:53 GMT, Steph

Merci pour vos éclaircissement éventuels.


Si mes souvenirs sont exacts, un de vos buts était d'observer les
méchancetés qui vous agressaient pendant la navigation.


Non pas exactement, je veux un ids qui loggue le trafic, comme conseillé
sur la page du Certa sus-mentionnée.
Et on peut se tutoyer non ? ça me vieillit encore plus sinon :)

Pour ça, il faut soit que la sonde tourne sur la machine qui navigue,
soit que vous mirroriez le port de la machine en question.
Parce que si la sonde est sur une autre bécane en DMZ, elle risque pas
de voir ce traffic là.


Vu le coût, le mirroring je laisse de côté. Comme tu vois, j'"n suis au
début: choix de la bonne canne à pêche, des hameçons et du meilleurcoin
où il y a de la poiscaille :)

Et toi donc, tu surfes avec ton PC en DMZ, où est installé Snort ?

--
Steph
Enlever l'.adressebidon.invalid pour m'écrire en privé


Nina Popravka
Le #877435
On 29 Sep 2007 19:04:12 GMT, Steph

Et toi donc, tu surfes avec ton PC en DMZ, où est installé Snort ?


Pas systématiquement, hein... parce que snort ça bouffe quand même de
la ressource...
Mais il m'arrive parfois de me demander quelle est la météo actuelle
sur l'internet de m'dame Michu (donc moi), et je lance snort, met mon
PC en DMZ (ou connexion directe), et je regarde quelle est la tonalité
du bruit de fond à la mode ; le plus dur est de retrouver comment
mettre à jour les règles. D'ailleurs tu m'as fait penser à regarder ce
qu'il pense des navigateurs, Snort, je m'y met le we prochain.
Il faut évidemment avoir une machine très religieusement tenue à jour,
et savoir très précisément ce qui s'y passe... (enfin autant qu'on
puisse). Si tu n'es pas capable au premier coup d'oeil d'identfier un
process qui était pas là avant, ni d'interpréter les résultats des
anti rootkit divers, mieux vaut oublier...
--
Nina

Eric Razny
Le #877433
Le Sat, 29 Sep 2007 18:06:37 +0000, Nina Popravka a écrit :

Je voulais dire "cher pour ce que c'est" : 74 ¤.



Ben oui, mais il y a un port BNC :)
On ne rigole pas, il y a un an j'ai encore vu un lan avec les bouchons
et tout tout...

Ça se trouve, des switches avec port miroir à ce prix ?


J'avais vaguement cherché l'an dernier, et j'avais rien trouvé à moins
de 3 ou 400 euros. Mais bon, j'avais pas tout écumé, non plus...
J'ai donc décidé que je continuerais à jouer avec snort sur ma bécane,
en dmz, comme d'hab :-)


J'étais dans la même gamme de prix.

Par contre si quelqu'un a du temps, un p'tit wrt54gl avec openwrt[1] et
netfilter passé au patchomatic avec ROUTE[2] et l'option --gw --tee ça
doit faire un jouli switch manageable (comment ça c'est gacher? :) )

Et ce qui ne gache (cette fois) rien le bestiaux serait à approx 60¤.

Eric

PS : rappel, sur le site de snort on trouve ce qu'il faut pour se passer
de switch manageable : http://www.snort.org/docs/tap/

[1]http://openwrt.org/
[2]http://www.netfilter.org/projects/patch-o-matic/pom-extra.html#pom-extra-ROUTE


Pascal Hambourg
Le #877212

Par contre si quelqu'un a du temps, un p'tit wrt54gl avec openwrt[1] et
netfilter passé au patchomatic avec ROUTE[2] et l'option --gw --tee ça
doit faire un jouli switch manageable (comment ça c'est gacher? :) )


ROUTE, c'est mal. :-p
D'ailleurs les développeurs de Netfilter ont fini par le virer du
patch-o-matic-ng. Comme certains regrettaient son option --tee,
quelqu'un a écrit une cible TEE reprenant cette fonctionnalité.

Archives des discussions sur la liste netfilter-devel :

[les archives sur lists.netfilter.org ne marchent plus]

PS : rappel, sur le site de snort on trouve ce qu'il faut pour se passer
de switch manageable : http://www.snort.org/docs/tap/


Allons, qui peut raisonnablement conseiller ce montage douteux ?

Publicité
Poster une réponse
Anonyme