Principe de fonctionnement de l'IDS

par **paradox** » 12 Fév 2003 16:19

Hello, je regarde les logs de l'IDS, et j'ai un : ---------------- Date: 02/12 08:45:20 Nom: SMTP RCPT TO overflow Priorité: 1 Type: Attempted Administrator Privilege Gain Informations sur l'adresse IP: 111.111.111.111:3515 -> 222.222.222.222:25 Références: aucune entrée trouvée SID: 654 ----------- Heu.., port 25 = SMTP. Je route les flux SMTP vers une machine sur la DMZ (222.222.222.222). 111.111.111.111 est le relai SMTP de mon prestataire. Le routage est créé, l'ouverture du port l'est également. Prq l'IDS m'indique ce message ? Et autre question, que fais l'IDS quand il detecte une intrusion ? Il le log simplement ? Il bloque certaines choses ? Quoi ? L'IP distante ? merci

par **nemesis** » 19 Fév 2003 10:22

pour ce ke fais l'ids voilà la réponse de la fac ipcop... An IDS does not block any traffic, it merely alerts system administrators when potential hostile traffic is detected. bye pour le reste je sais pas moi j'aimerai bien arriver a le lancer snort !!!! <IMG SRC="images/smiles/icon_mad.gif"> <IMG SRC="images/smiles/icon_mad.gif">

par **paradox** » 19 Fév 2003 11:15

Ok, merci. C'est pas ce que j'avais lu y'a un môment. Je pensais que le principe était de détecter des style d'attaques connues (base de l'IDS à mettre à jour régulièrement pour un meilleur recencement) puis de rajouter dynamiquement des règles dans le firewall pour bloquer temporairement les flux provenant des sources ciblées. Ca doit être en fonction de la config. IpCop ne doit pas être configuré pour.

par **nemesis** » 19 Fév 2003 11:19

possible ... bien qu'une modif dynamique du firewall me semble pouvoir constituer une faille.. en plus faut rebooter le firewall pour k'il prenne en compte les nouvelles regles et ça pose aussi un pb ça si c'est fait a chaque detection d'intrusion bonjour le blocage de ton réseau... par contre comment on demare snort sur ipcop 1.2 (j'ai essaye depuis l'interface web mais ça marche po !!!!)

par **paradox** » 19 Fév 2003 11:28

Aucune idée. Ca devrait marcher en cochant la case.

par **nemesis** » 19 Fév 2003 11:32

arggg y a une $%#&! alors!! koi ke j'ai pas encore tt configuré la dedan j'ai juste installé mon interface green... par contre le truc ki me gonfle c'est ke kand je fais ps -A | grep snort bha il trouve rien (donc je supose que snort est po lancé!!!) et pi ausi kd je fais <a href="https://kerberus:445" target="_blank">https://kerberus:445</a> ds mon browser je trouve po mon ipcop mais kd je met l'ip il est trouvé et m'annonce que l'host est ... kerberus grrr comprends po!

par **paradox** » 19 Fév 2003 11:42

Kerberus. Il ne suffit pas que ton IpCop porte son nom de machine. Il faut qu'elle soit reliée à ton DNS, ou, si tu ne veux/peux pas, que sur ton serveur DNS tu rajoutes un HOST KERBERUS/IP pour faire la résolution, ou si tu n'as pas de serveur DNS interne, que tu te débrouilles pour que lorsqu'une machine de ton LAN appelle KERBERUS, elle sache résoudre l'IP. Donc tu rajoutes dans le fichier HOST placé dans ton rep Windows (si OS MS ..) la ligne 10.10.10.1 KERBERUS (si 10.10.10.1 est l'IP Green de ton IpCop).

par **nemesis** » 19 Fév 2003 11:45

arf je l'ai placé ds le fichier lmhost!!!! c pour ça ki le trouve po! j'suis bête! (ça c pour etre poli....) merci faudra ke je tente ça ce soir (j'ai pas la becane au boulot...) tiens sinon si t'as des infos sur ip cop ttu peux regarder mon poste ([debutant]ipcop stp t'as peut etre des reponse a mes questions ki sait...)

par **paradox** » 19 Fév 2003 12:47

Les réponses t'ont déjà été données. Et je t'aurai donné les mêmes infos.

par **nemesis** » 19 Fév 2003 12:54

ok merci!

par **grosbedos** » 19 Fév 2003 13:08

salu! sui pa un pro de snort... si tu veu vraimen savoir pkoi ta u ce message li la doc de snort!(si ta le nivo pour comprendre lol) autremen les regles de snort se trouve dans /etc/snort si tu veux voir la regle en question c celle de smtp, logique quoi..sid654 si tu veu generer des regle dynamique y a guardian qui existe, il est pa tro compliqué et fonctionne bien. (ce prog est genial tan qu'il est pas detecter lol) voila by

par **paradox** » 19 Fév 2003 13:23

ok, merci désolé pour cette question très basique, mais je viens de MS .. Sous IpCop, quels sont les différents éditeurs de texte ? Vi je suppose (que je n'aime pas car pas dans ma "logique"/connaissances), et d'autre ? (+ simple tel qu'EDIT sous DOS).

Principe de fonctionnement de l'IDS

Qui est en ligne ?