Re: network intrusion detection system

On Wed, Jun 06, 2001 at 12:06:16PM +0200, Alessandro Fiorenzi wrote:

> Qualcuno è a conoscenza di un sistema che oltre a rilevare il tentativo di intrusione, come fa snort, faccia anche in automatico il drop di quei pacchetti?

allora, snort FA anche questo tipo di cose, almeno nelle ultime release (>=
1.6.qualcosa). Devi attivarlo in compilazione (--flex-resp o simile, _mi
pare_, vedi meglio le feature e i doc sul sito :) Si limita solo agli rst se
non ricordo male e non va a "pilotare" un firewall per denayare tutto il
traffico dell'host da cui arriva l'attacco, whoisarlo, mandargli la polizia
postale e bruciargli la casa in automatico.

Altri pacchetti free simili cosi' al volo mi ricordo hostsentry
(http://www.psionic.com/abacus/hostsentry/) e altri basati su tcplogd o
simili (forse iplog) ma non posto gli url perche' sono di frettissima e non
ho tempo di cercarli :( 

Per quel che riguarda quelli commerciali, molti lo fanno ISS, NAI, etc.
(tranne NFR).

Ti/Vi rimando comunque ad una lettura del thread
http://www.sikurezza.org/ml/01_01/msg00054.html (e altri che non ho voglia
di cercare, imparate a usare la simpatica pagina di search, pliz) per una
trattazione approfondita dei DANNI causabili dagli ids "troppo
intelligenti".


bye,
Koba (moderatore)

Igor Falcomata'
IT Security Manager & Consultant
Infosec srl - http://www.infosec.it
Network Security and Data Defense
 --
free advertising: www.openbsd.org - Multiplatform Ultra-secure OS

________________________________________________________
http://www.sikurezza.org - Italian Security Mailing List