[Previo por Fecha] [Siguiente por Fecha] [Previo por Hilo] [Siguiente por Hilo]
[Hilos de Discusión] [Fecha] [Tema] [Autor]garaged wrote: > Lo de los falsos positivos es la realidad de cualquiera que usa ids, y > como tip, no uses guardian porque tienes que usar snort con salida de > texto, que no solo es mas lenta, sino mas vulnerable a ataques. > eso he notado ahora que lo he estado probando, también he notado que por ejemplo puede uno deshabilitar las reglas que te hacen falsos positivos, pero cuando actualizo con el oinkmaster (creo que asi se llama), las reglas se vuelven a desmarcar no se si sea una opción que me falte ahi configurar, de lo contrario entre cada actualización tendría que remarcar las reglas con el (#) para que no sean tomadas, y así no me cree falsos positivos. En este dato no se por que el formato texto en claro sea más vulnerable a ataques, de hecho creo que cualquiera d elos dos metodos los serían no ?, por que también mysql puede ser suceptible también, o me equivoco ?. > Es recomendable usar la salida unificada, o base de datos en > produccion. Y el hacerlo IDP (lo cual esta de moda) no es tan buena > idea como parece, no esta mal para la maquina de tu casa, pero en un > servidor o red critica (cual no lo es ?) es muy probable que sufras > consecuencias desagradables como el que un usuario X no puede accesar > a el, o que tu server dejo de tener contacto con el mundo por un DoS. > Si de hecho ahorita estoy haciendolo en una maquina casera, para probarlo, y si creo que eso puede pasar, ya que viendo los log's lo mismo que proba los falsos positivos podría hacer que los usuarios y ano se conecten a la computadora :-P. Crei que snort podia evitar los DoS :-(. > Ya entrandole a la implementacion, snort_inline es una opcion muy > buena, y hay otro proyecto llamado hogwatch > (http://hogwash.sourceforge.net/oldindex.html) que te gustaria > visitar. > Los checaré que de hecho estoy leyendo sobre ellos, al parecer son más directos ya que no necesitan leer un log, si noque el mismo packquete que pase por ellos lo bloquean antes de que llegue a la máquina, la cosa que he visto que no existe paquete en debian para ellos, por lo cual los checaré desde los sources :-(. saludos y gracias. -- "hechando a perder se aprende" http://mx.tuxsoul.com http://mx.dolric.com ------------------BEGIN GEEK CODE BLOCK----------------- Version: 3.12 GCS d? s: a? C+++ UL+++ P+ L++ E--- W++ N+ o K- w++ O-- M V- PS PE Y PGP++ t++ 5 X+++ R* tv++ b- DI+++ D---- G++ e- h++ !r !z -------------------END GEEK CODE BLOCK------------------