Re: [ml] Re: Ricerca prodotti correlazione e analisi eventi di sicurezz

Ciao Amedeo,

> alla lista (opensource, non entro nel merito di quelli commerciali) c'è
> da aggiungere OSSEC IDS www.ossec.net molto valido e a differenza di
> os-sim si può trovare sviluppo e supporto (sviluppato principalmente da
> Daniel Cid)

purtroppo OSSEC è un raccoglitore di log ed eventi, come prelude per la
correlazione è a mio avviso ingestibile.
ossim ha un'installazione che definire "infernale" è poco, ma è l'unico ad
avere un motore per fare correlazioni che ti permetta qualche grado di
libertà e di manutenibilità.
Io, sinceramente, non so con ossec quanto si possa salvaguardare la
propria sanità mentale se si superano la 10ina di correlazioni :-)
Per cui, alla fine, l'unica cosa che vedo degna è prelude come
concentratore e ossim come correlatore, il tutto infarcito da un forte
lavoro di integrazione e smanettamento.

Ma ripeto, secondo me nel mondo opensource di veramente valido c'è davvero
poco.