Posicionamento de um IDS em uma rede
T�pico: Posicionamento de um IDS em uma rede
0 Posicionamento de um IDS em uma rede
basicamente � assim, a maquina Linux est� instalada e com o hardening feito, o IDS est� configurado no modo promiscuo, tudo ok! Minha d�vida � a parte final, como posiciono ele na rede, para que ele ou�a todas as informa��es da rede sem que cause lat�ncia?
Minha antiga implementa��o, eu tinha instalado um linux, tinha recompilado o kernel para suportar bridges, tinha pego a interface da rede privada e a da publica, transformado em uma s� e rodado o IDS em cima dela, dessa 1 interface, ele capturava todos os eventos, por�m, se a maquina caisse, tudo caia. Hoje em dia eu administro uma rede grande, com roteadores cisco 7500, 12000, 2600... ent�o basicamente :
internet -> router -> checkpoint-fw1 -> switch Se eu quiser implementar um IDS sem que ele se torne um next_hop nessa rede, onde e como eu posiciono/configuro?
Queria muito poder configurar o IDS para ele ouvir tudo sem que a rede em si, dependa dele para passar pacotes, pensei at� em substituir o switch por um hub que trabalha enviando broadcast para todo mundo, espetando os clientes no hub e o IDS nele tamb�m, sendo um equipamento de layer1, essa solu��o daria certo, mas como o trafego � muito alto e os switches aqui n�o s�o encore etc e sim catalysts, n�o posso perder desempenho.
Tenho essa d�vida a um bom tempo e ficaria MUITO feliz se algu�m compartilhasse experi�ncias :)
0 Re: Posicionamento de um IDS em uma rede
Companheiro, o posicionamento do IDS vai depender do que voc� quer monitorar.
Mas de qualquer jeito, PELARMORDEDEUS n�o coloque um HUB na tua rede interna. Se voc� fizer isso n�o s� o desempenho vai cair, como todo mundo vai poder sniffar tudo que passa na tua rede, incuindo senhas.
Eu vejo duas op��es a�:
1) Se voc� quiser monitorar o trafego internet, voc� pode colocar um hub entre o teu roteador e o firewall. Assim teu IDS vai ouvir tudo, mas n�o vai influenciar no trafego.
2) Para monitorar a rede interna a melhor op��o � voc� por uma porta do teu switch em modo espelhado, de forma que ele mande o trafego de todas as outras portas pra essa. Veja a documenta��o do teu equipamento para encontrar um jeito de fazer isso.
Agora, se o trafego da rede for tao grande quanto voc� fez entender, cuidado ao escolher a maquina que vai servir como IDS, pode ser que ela n�o aguente o volume e descarte muitos pacotes.
Outra coisa � a rede: se a soma do trafego de todas tuas portas for maior que o trafego da interface do IDS ent�o voc� vai ficar sem monitorar muita coisa.
26 Re: Posicionamento de um IDS em uma rede
A solução que estudei durante um tempo foi o ethernet tapping, que inclusive já discuti neste tópico:
http://www.istf.com.br/vb/showthread.php?t=10010
Atualmente o que fazemos é o armazenamento desse tráfego em cada ponto de I/O da rede, que é centralizado em um equipamento destinado a gerar estatísticas e analisar o tráfego. Não é uma solução exatamente realtime (existem uns minutinhos de diferença que é o período entre as transferências desses "logs"), mas nós armazenamos todo o tráfego da rede para uma análise posterior, se for necessário.
Eu ainda prefiro a solução com o tapping.
galera, obrigad�o, voc�s me deram um grande help, vou considerar as duas solu��es, switch em modo espelhado e o tapping, achei a ideia do tapping muito interessante, vou pesquisar pre�os e de repente submeto a aprova��o de compra um desses para empresa e estudo a solu��o, obrigad�o ai galera.
Responder com cita��o 18/02/2008
� .. apos uns dias de testes , vou falar os resultados, considerei bastante o uso de tapping por�m a vontade de testar isso tudo logo era t�o grande que corri para o CatOS do catalyst, configurei um SPAN basico, joguei um cliente e uma interface do checkpoint em uma vlan, os dois sozinhos e fiz a mirror port nessa mesma vlan ouvindo trafego egress/ingress.. ficou bonito mesmo e alem de tudo, eu estou tirando a certifica��o CCDP de design da Cisco e acabei de descobrir como rodar meus linkloads/net analyzer para ouvir a rede toda hehe!! esse post foi bem util para mim, obrigado!
Responder com cita��o 20/02/2008
0 Acho que a discussão já está encerrada no que diz respeito a tapping, mas acho muito importante a leitura deste material, independente de tratar-se do SNORT tem vários exemplos topológicos que podem ser aplicados a qualquer IDS: