Dotaz: Snort vs Suricata IDS a best practices

[ss]

Ahoj. Chtěl bych nasadit Snort nebo Suricata IDS na router/firewall (v 1 zařízení). Měl bych několik otázek:

1. Co byste doporučili - fukčnost/výkon? ... do nedávna byl asi Snort v pozadí za Suricatou kvůli jednovláknové architektuře, ale i Snort podle všeho už umí více vláken.
2. Co je možné a vhodné pomocí síťového IDS na routeru chránit/detekovat útoky a proč? Jen servery nebo i koncové stanice?
3. Je dobré terminovat SSL spojení před IDS (tzn. IDS může analyzovat vnitřek) nebo ne?

Předem díky moc za reakce a pokud by někdo měl info o nějakém lepším SW, taktéž uvítám (viděl jsem v plenkách i nějaký projekt integrující Snort, hadoop, ...) ...

Odpovědi

[NN]

Snort je velka klasika, dnez uz placena. Suricata se objevila nedavno, ale vypada dost nadejne. Obecne se IPS/IDS funkcionalita obcas prodava jako soucast komercniho firewallu, ale jeste jsem to nevidel nakonfigurovane tak, aby to splnovalo ucel. Takze se na to spousta lodi vykaslala a resila to endpoint security, jako castejsi zdroj problemu. Misto signature based metody se take pouziva Flow based a behavioralni analyza, ale to je jina kategorie..

[Karel]

Snort (i Suricata) hledá v komunikaci známé řetězce znaků. Má to ale dnes šanci fungovat, když se dnes téměř vše šifruje? Mě by zajímalo, jestli to třeba může poznat zavirované zařízení v moji síti (Windos nebo třeba Android)?

[alles32]

internet, stejne jako utoky neni pouze http zejo a snort neni antivirus. zato se napr. umi naucit typicky L2 provoz v hlidany siti a pak hlasit anomalie.

s identifikaci zavirovanych windows ti, krome antiviru, muzou pomoct napriklad honeypoty, na ktery ty okna utoci. ;]

[NN]

Ja si rikam, jestli IDS i honeypotum, ktere maji svou slavu uz take za sebou, neodzvonilo a neni vhodnejsi nasadit neco sofistikovanejsiho. Zarizeni, ktere kombinuje vice stylu a zvladne napriklad stredne velky DDoS, maskovani se za jiny protokol etc. Proste, aby si to zaslouzilo samostastny box v siti.

[alles32]

myslis jestli jako nekdo predinstaloval a predkonfiguroval vsechny mozny security tooly do jedny vps appliance a dodal k tomu jednotny konfiguracni gui a pekne vypadajici vystupy? ;]

[ss]

Tak zatím to logicky vypadá, že IDS na SSL je v podstatě k ničemu, takže HTTPS je potřeba terminovat reverzní proxy, ale zase pak je prý lepší mod_security než třeba snort ... Co se týká ostatních protokolů - imap/smtp/dns ... vyplatí se to? Jestliže to tu někdo používá, tak jak a na co?