IDS - auxilio

[spectrum]

Bom dia Pessoal!
Depois de muito tempo sem aparecer, Spectrum da as caras novamente...
Mas seguinte... eu queria monta um sistema IDS poderoso, e gostaria de aber por onde começar! tipo uns how to uns manuerzão..... tudo sobre isso!
Tipo disso eu naum manjo nada e quero implementar em meus servidores! e por isso a velha frase "desde já agradeço"
Valeus... e ai pessoar como vão?
Abraços
[]'s
Spectrum
:toim:

[ruyneto]

Cara vc ja deu uma olhada na pagina do snort?? la tem o básico de como implementar ele, para coisas mais avançadas do snort o que eu recomendo eh o livro deles que trata bem sobre o assunto e é bastante extenso as dicas.

Já aproveitando o topico tb to montando um server ids e gostaria de saber qual eh o melhor para ids, eu sempre achei mais coisas sobre o snort, mas já vi que tem o portscan e o tripwire(se não me engano), e tb se montando num servidor em produção esses ids podem roubar mto recurso de maquina, sendo indicado por em um outro servidor.

Vlw ae e falows

PS: desculpe por compartilhar o topico, mas acho que tem interesse e duvidas em comum.

[spectrum]

Valews
Mais sim acho que as duvidas sao comuns!!

Cara vc ja deu uma olhada na pagina do snort?? la tem o básico de como implementar ele, para coisas mais avançadas do snort o que eu recomendo eh o livro deles que trata bem sobre o assunto e é bastante extenso as dicas.

Já aproveitando o topico tb to montando um server ids e gostaria de saber qual eh o melhor para ids, eu sempre achei mais coisas sobre o snort, mas já vi que tem o portscan e o tripwire(se não me engano), e tb se montando num servidor em produção esses ids podem roubar mto recurso de maquina, sendo indicado por em um outro servidor.

Vlw ae e falows

PS: desculpe por compartilhar o topico, mas acho que tem interesse e duvidas em comum.

[gmlinux]

O termo IDS é mais amplo, temos de rede (NIDS) e local (LIDS).

[1c3m4n]

soh um detalhe LIDS nao quer dizer que é local, LIDS eh Linux Intrusion Detection System

Bom spectrum acho que o melhor pra começar mesmo é o snort, tem ateh alguns tuto dele aqui no site.
Depois que vc pegar um pouco de pratica tem o NIDS,LIDS,PaX,etc..

[gmlinux]

Existe um patch para kernel linux chamado LIDS, que é amplo, cobre tanto Network como local intrusion detect.
Network intrusion detect system: NIDS
Local intrusion detect system: LIDS

[1c3m4n]

LIDS nao vem de local! eh de Linux

www.lids.org
" The Linux Intrusion Detection System (LIDS) is a kernel patch and admin tools which enhances the kernel's security by implementing Mandatory Access Control (MAC)"

mas ta certo que abrange seguranca local e remota, mas LIDS nao eh Local Intrusion Detection System

[gmlinux]

Você esta associando LIDS do patch, olha esta pesquisa:
http://www.google.com.br/search?hl=p...esquisar&meta=
terceiro link, nem precisa entrar

[gmlinux]

Existe um patch para kernel linux chamado LIDS, que é amplo, cobre tanto Network como local intrusion detect.
Network intrusion detect system: NIDS
Local intrusion detect system: LIDS

Só troca o detect por detection...

[spectrum]

Valews galera ... ja coloquei para rodar aqui
seguinte na hora que dou

guardian.pl -c /etc/guardian.conf

da uma mensagem assim:

os shows linux
Warning! HostIpAddr is undefined! Attempting to guess..
Couldn't figure out the ip adderess

Isso é um erro? (pois no artigo que peguei dava uma frase diferente!
Se for erro como devo proceder????
Grato
[]'s

Spectrum

Existe um patch para kernel linux chamado LIDS, que é amplo, cobre tanto Network como local intrusion detect.
Network intrusion detect system: NIDS
Local intrusion detect system: LIDS

Só troca o detect por detection...

[spectrum]

tem alguma maneira de eu ver os logs do snort via browser?

[1c3m4n]

Você esta associando LIDS do patch, olha esta pesquisa:
http://www.google.com.br/search?hl=p...esquisar&meta=
terceiro link, nem precisa entrar

Eh gmlinux acontece que eu nao disse que LIDS nao eh Local, mas LIDS OFICIALMENTE eh de Linux Intrusion Detection System.... ele ser local digamos que é um subtopico..


Spectrum tem algumas ferramentas que geram os logs pra html sim, lah no site oficial tem pra download

[spectrum]

Valeu.... mas e aquela men.... esta correta????

Você esta associando LIDS do patch, olha esta pesquisa:
http://www.google.com.br/search?hl=p...esquisar&meta=
terceiro link, nem precisa entrar

Eh gmlinux acontece que eu nao disse que LIDS nao eh Local, mas LIDS OFICIALMENTE eh de Linux Intrusion Detection System.... ele ser local digamos que é um subtopico..


Spectrum tem algumas ferramentas que geram os logs pra html sim, lah no site oficial tem pra download

[1c3m4n]

ta faltando vc setar o IP na conf do guardian
da uma olhada aki que pode te ajudar: https://under-linux.org/forum8-26887.html

PS: cara diminui um poko essa img da tua assinatura, ateh em 1024 ela ocupa mto espaço

[ruyneto]

tem alguma maneira de eu ver os logs do snort via browser?

Cara existem diversas ferramentas, mas todas o snort tem de logar em base de dados, se quiser algo mais simples recomendo o snort report, se quiser algo mais poderoso uma boa combinação eh base + snortcenter, que faz a apresentação grafica do snort e tb permite controle das funçoes do snort remotamente, supor um servidor controla varios snorts.


Falows

[gmlinux]

Você esta associando LIDS do patch, olha esta pesquisa:
http://www.google.com.br/search?hl=p...esquisar&meta=
terceiro link, nem precisa entrar

Eh gmlinux acontece que eu nao disse que LIDS nao eh Local, mas LIDS OFICIALMENTE eh de Linux Intrusion Detection System.... ele ser local digamos que é um subtopico..


Spectrum tem algumas ferramentas que geram os logs pra html sim, lah no site oficial tem pra download

Mais em nenhum momento eu falei do LIDS como patch no meu primeiro post, eu usei o termo LIDS e NIDS como siglas do conceito de intrusão local e remota, ainda mencionei claramente que havia um patch de kernel chamado LIDS e que era mais abrangente que o conceito de local IDS, possuindo inclusive recursos de network IDS.
Se estivesse falando do patch, concordaria com o significado de sua sigla, mais estava falando do conceito.
Olha esta pesquisa, agora usando o tripwire, para evitar alguma confusão:
http://www.google.com.br/search?hl=p...esquisar&meta=

[spectrum]

Galera valew
achei o problema
[]'s Spectrum :toim: :toim:

[1c3m4n]

gmlinux acho que nao estamos falando a mesma lingua

Termo OFICIAL para LIDS: Linux Intrusion Detection System

local instrusion, eb se encaixa na sigla LIDS,mas o OFICIAL eh para linux e nao local

do jeito que vc ta falando de LIDS da a impressao que o termo oficial eh para local e nao é...
exemplificando seria mesma coisa que eu ficar brigando que NIDS é neural instrusion detection system... sendo que o oficial pra NIDS eh Network...

entendeu agora?

[gmlinux]

Esta discussão não vai levar a nada, fica com sua opinião que fico com a minha.
Até porque eu não falei qual é o significado oficial da sigla LIDS, somente a usei em um contexto em que muitos outros usam... como demontrei em diversos links.
Tipo, em um certo contexto, é aceitável considerar DNS como Domain Name Server, mesmo que a sigla signifique Domain Name Service.

[1c3m4n]

Exatamente
É isso que eu tava tentando explicar, não falei que ta errado chamar local instrusion blablabla de LIDS, so to falando que oficialmente LIDS eh de Linux