Linux-Videos
Email: IDS/IPS-Systeme mit Snort
Mit Snort und weiterer Opensource-Software lassen sich kostengünstige Intrusion-Detection/Prevention-Systeme realisieren. Als grafisches Frontend stehen Snorby oder BASE zur Verfügung.Das folgende Diagramm zeigt eine typische Architektur eines IPS in Form einer transparenten Bridge.
Der Netzwerkverkehr aus Richtung des Internets passiert zuerst die Firewall und dann den Snort-Sensor. Dieser ist als transparente Bridge eingerichtet und von außen "nicht sichtbar", da er keine IP-Adresse konfiguriert hat. Alle Pakete werden mit Hilfe von iptables in den User-Space hochgereicht und so Snort zur Analyse zur Verfügung gestellt. Snort entscheidet dann für jedes Paket ob es durchgelassen wird oder nicht. Snort generiert weiterhin Meldungen welche über sockserv und stunnel an den Loghost gesendet werden. Auf dem Loghost sind diese Meldungen dann durch Snorby in einer ansprechenden Weboberfläche einsehbar. Außerdem generiert der Loghost Emailbenachrichtigungen bei kritischen Ereignissen.
Eine solche Architektur ist nicht mehr als trivial zu bezeichnen und erfordert permanente Betreuung durch einen erfahrenen Administrator. Je tiefgehender die Protokoll- und Security-Kenntnisse der Benutzer sind, desto größer ist natürlich der Nutzen eines solchen Systems.