sandman Jul 5 2011 at 17:20

SNORT как сервисная IPS

6 min

92K

Information Security*

+21

Comments 23

bondbig Jul 5 2011 at 18:18

Чем отличается SNORT от SourceFire?

sandman Jul 5 2011 at 18:21

Snort® is an open source network intrusion prevention and detection system (IDS/IPS) developed by Sourcefire.

bondbig Jul 5 2011 at 19:45

Это мне известно )
Собственно, вопрос поэтому и возникает. SourceFire продает ынтырпрайзные железки за многаденег под своим брендом. Хочется понять разницу на функциональном уровне.

sandman Jul 5 2011 at 20:13

В этом документе на 4й странице уютная сравнительная таблица есть: www.computerlinks.sg/FMS/3403.snort_intrusion_agent_factsheet.pdf

TycoooN Jul 5 2011 at 23:30

Извините за занудство, но перед словом «как» не всегда ставится запятая, и в заголовке данного поста она не нужна.

sandman Jul 6 2011 at 00:20

ок

ohm Jul 6 2011 at 02:55

Расскажите, пожалуйста, можно ли использовать snort для обнаружения Ddos-атак без декодирования пакетов? Насколько эффективны правила вида:

alert tcp !$HOME_NET any -> $HOME_NET 80 (flags: S; msg:"Possible TCP DoS"; flow: stateless; threshold:
type both, track by_src, count 70, seconds 10; sid:10001;rev:1;)

bondbig Jul 6 2011 at 09:28

Снорт? Для отражения DDoS? Да вы чего??

t0os Jul 6 2011 at 10:05

для обнаружения

sandman Jul 6 2011 at 12:53

Технически можно — обнаружить вы скорее всего успеете. Но смысла нет, так же легко констатировать ддос можно, обнаружив падение сервиса. Смысл обнаружения и наблюдения DDOS в том, чтоб можно было оценивать эффективность принимаемых мер, то есть сама система наблюдения за DDOS должна быть уязвима в гораздо меньшей степени. В описанном случае лучшим источником по которым следует наблюдать ddos являются счётчики на активном сетевом оборудовании.

Snort это, конечно, очень гибкий инструмент, но нацелен он на обнаружение\предотвращение вторжений.

vasilisc Jul 6 2011 at 08:40

в системах с пакетным менеджментом… нужно по аккуратнее с make install.
в идеале, забыть про make install

правильный вариант сделать пакет и установить его
sudo auto-apt update && auto-apt -y run ./configure
checkinstall -D
sudo dpkg -i ваш_пакет.deb

Установка пакетов по запросу
www.debian.org/doc/manuals/apt-howto/ch-search.ru.html

Как правильно компилировать
vasilisc.com/tips_ubuntu#right_compile

sandman Jul 6 2011 at 12:37

Спасибо, интересно.
А что именно make install может поломать? Какие косяки могут быть результатом make install и как с ними бороться?

vasilisc Jul 6 2011 at 13:14

make install ставит в обход системы управления пакетов, может установить в не принятые в данном дистрибутиве пути.

установленная программа в системе никак «не зарегестрирована».
нельзя штатно обновить/удалить программу и тд и тп
в системах с пакетным менеджментом нужно всячески стремится использовать пакеты
1) лучше в репозиториях
2) хотя бы из одиночных пакетов
3) создавать пакеты из исходников и делится ими, чтобы не «опять-двадцать-пять»

ekungurov Jul 6 2011 at 16:19

Если делаете 'make install' на пакетном дистрибутиве, вызывайте как минимум:
configure --prefix=/usr/local

ekungurov Jul 6 2011 at 16:27

checkinstall — это тоже quick&dirty хак. Если совсем по фен-шую, то нужно собирать пакеты с помощью debuild и майнтейнить собственный PPA.

partizannn Jul 6 2011 at 10:13

Ну а чем вам анализатор снорта snorby.org не понравился? По сравнению с тем же (BASE, ACID…) он выгодно отличается в лучшую сторону. Намного лучшую)

sandman Jul 6 2011 at 12:42

Я 2 дня пытался его запустить, но драйвер для связи с субд работать так и не начал. И ruby я не знаю.

partizannn Jul 6 2011 at 13:15

Я установил все из пакета (который предложил разработчик) и все отлично заработало. Все логи складываются в MySQL базу плюс после небольшого «шаманства» в эту же базу складываются и логи с удаленных сенсоров. ruby я тоже не знаю…

sandman Jul 6 2011 at 15:08

Я ставил на postgres.

gmlexx Jul 6 2011 at 16:59

Кстати, есть неплохая альтернатива
Тут можно посмотреть сравнение

Ozamodaz Jul 6 2011 at 17:53

Позвольте поинтересоваться, что вы искали по запросу «kiss my babushka» или это чисто пасхальное яйцо?

UFO just landed and posted this here

vah_13 Jun 22 2015 at 17:56

А как вы думаете — удобно анализировать ( правилами ) TCP трафик в или например HTTP. Как я понял препроцессоры могут переводить TCP в HTTP, или я что то путаю? На каком уровне рекомендуется анализировать. Спасибо

Show the best of all time