utilisez vous un IDS ?

cyrille wrote:

Bonjour,
'jour,

Donc voilà, c'est un petit sondage pour savoir si vous utilisez un IDS
(Intrusion Detection System).

Si oui, quel logiciel et quel sont les choix et réglages que vous
effectués afin d'obtenir un bon compromis entre sécurité et
performance.

merci d'avance
cyrille
-==-==-==-
... Faire un don d'ordinateurs déclassés : http://internethon.afnet.fr
-==-==-==-
J'ai placé snort (linux) au niveau de mon firewall (reposant sur iptables)

qui logge les alertes dans une base mysql, le tout en repporting via acid
(accessible directement depuis un navigateur web).
L'avantage c'est que je consulte les alertes depuis n'importe où.

Snort : www.snort.org
Acid : http://www.cert.org/kb/acid/

Pour ce qui est de l'installation, y a pas mal de docs sur le site de snort
pour installer snort+myssql+acid

Par contre j'ai pas de procédure pour mettre à jour de façon automatique les
rules (si quelqu'un a un truc, chuis preneur ;o)).

Reste a passer du temps pour analyser les alertes.
--
Laurent Savay
-----------------------------------------------
"Je ne parle par aux cons, ça les instruits" - Audiard

peck wrote:

Par contre j'ai pas de procédure pour mettre à jour de façon automatique les
rules (si quelqu'un a un truc, chuis preneur ;o)).

Un p'tit script 'update-snort.cron' :

#!/bin/sh
/bin/mkdir -p /etc/snort/rules-update/{download,old-rules}
cd /etc/snort/rules-update/download
wget http://www.snort.org/dl/rules/snortrules-stable.tar.gz
tar -xzf snortrules-stable.tar.gz
rm -rf snortrules-stable.tar.gz
/etc/rc.d/init.d/snortd stop
mv -f /etc/snort/*.rules /etc/snort/rules-update/old-rules/
cp /etc/snort/rules-update/download/rules/*.rules /etc/snort/
/etc/rc.d/init.d/snortd start

Il suffit ensuite de le placer dans /etc/cron.weekly (ou daily pour les
plus paranos)...


vala @+

cyrille wrote:

Bonjour,

Donc voilà, c'est un petit sondage pour savoir si vous utilisez un IDS
(Intrusion Detection System).

Si oui, quel logiciel et quel sont les choix et réglages que vous
effectués afin d'obtenir un bon compromis entre sécurité et performance.

merci d'avance
cyrille
-==-==-==-
... Faire un don d'ordinateurs déclassés : http://internethon.afnet.fr
-==-==-==-
Salut,

personellement, j'utilise prelude, avec le maximum de modules lancés (
toutes les rules dispo pour prelude et snort ) + LML, et j'enregistre
qu'en fichiers log ( gérés par logrotate ). L'enregistrement des logs
est complet mais pas vraiment "user-friendly" pour moi. Faudrait que je
pense à les mettre en xml ( mais bon je sais plus comment visualiser des
xml ensuite ) ou alors passer en php/mysql ( mais bon fo gérer derrière
) si kk essayer autre chose je suis preneur !
CDLT

--
Free Ur Mind, Be Linux

Bonjour,
(Intrusion Detection System).
Si oui, quel logiciel et quel sont les choix et réglages que vous
effectués afin d'obtenir un bon compromis entre sécurité et performance.

merci pour vos réponses.

est-ce que votre IDS est déporté sur une machine dédiée qui surveille
d'autres machines ? ou tout est installé sur la même unité ?

avez vous une idée de l'impacte sur les performances ?
surveillez vous les couches bas niveau (eth, tcp/ip) ou/et les couches
applicatives (httpd,mta,dns) ?

merci encore
cyrille

-==-==-==-
... Faire un don d'ordinateurs déclassés : http://internethon.afnet.fr
-==-==-==-