Log summary + IDS

[DaftTitan]

Salut,

dans mon log summary j'ai sa :

Warnings:
Host 192.168.1.2 (fix0) has static and dynamic mappings, remove other.: 48 Time(s)
Host 192.168.1.3 (fix1) has static and dynamic mappings, remove other.: 34 Time(s)
Host 192.168.1.4 (fix2) has static and dynamic mappings, remove other.: 35 Time(s)
Host 192.168.1.5 (fix3) has static and dynamic mappings, remove other.: 10 Time(s)
Host 192.168.2.3 (fix4) has static and dynamic mappings, remove other.: 46 Time(s)
Host 192.168.2.4 (fix5) has static and dynamic mappings, remove other.: 47 Time(s)


tout mes clients sont config en DHCP
sur mon ipcop j ai enable le serveur DHCP + les regles de fixed lease par MAC adress

kkn sais m eclairsir sur ces warnings ?


temps ke j y suis vous comptez +- combien d IDS dans les log par jour ?
j'en ai +-60 on me veut du mal ??

[Nemric]

Salut,
je pense que tu donne des @ip fixe et dynamique en même temps ...
le mieu est de parametrer le dhcp pour donner les @ip de 192.168.1.1 à 192.168.1.150 par exemple et les adresse fixes tu les donnent au dela de 192.168.1.150 pour être sur qu'ipcop ne donne pas d'adresse dynamique deja distribuées en fixe ...

Pour l'ids, je ne sais pas quoi te repondre car depuis que j'ai demandé des renseignements sur ce forum, j'ai cru comprendre que ca servait a rien ! dans le sens ou snort est totalement passif et se contente de signaler du traffic (au niveau applicatif) peut être dangereu. Par exemple, l'acces au fichier "robot.txt" d'un serveur web, c'est normal pour un moteur de recherche qui veut la liste des repertoire a referencer, mais dangereu si c'est un pirate qui veut la liste des repertoires à haker. l'ids ne fait rien d'autre que te prevenir qu'il y a eu une demande pour ce fichier, il en est de même, toujours pour un serveur web, lorsqu'il y a une erreur et que le site retourne un message d'erreur (genre acces refusé), snort previent qu'il y a eu un message d'erreur, car un message d'erreur peut contenir des informations utiles pour un pirate ... ainsi de suite ...

Il existe un moyen pour rendre snort actif et lui fair bloquer les "intrusions" voulus ! http://forums.fr.ixus.net/viewtopic.php?t=26761&start=0&postdays=0&postorder=asc&highlight=parametrer+snort

mais pour cela il faut installer la derniere version de snort et recompiler ipcop sur une autre machine, l'enfer quoi ! alors fait comme moi : je fais comme les autres, je dis que snort n'est qu'informatif et je regarde passer les logs ...

A plus

Nemric

[neodragon]

En sachant aussi que si tu veux rendre snort actif, cela peut aider les personnes à bloquer ton parefeu. Si le parefeu répond systématiquement à une certaine alerte, alors une personne peut faire exprès d'envoyer beaucoup de ces alertes pour faire crever le parefeu. Donc attention aux IDS actifs !
Mais Gesp t'expiquera cela beaucoup mieux que moi si il passe dans le coin