[Problème] Detection intrusion et Oink code

[cyrakuse]

Bonjour à tous,

Je viens de faire une install de IPCop v1.4.21 (+ plugin urlfilter)
Lorsque je demande une maj des règles (dans detection intrusion), j'obtiens le message d'erreur suivant :

Code: Tout sélectionner

L'auxiliaire d'aide a donné un code d'erreur: HTTP::Response=HASH(0x85f2e90)->code

Pour info :
- j'ai bien rempli le oink code avec celui donné par le site snort.
- j'ai bien vérifié l'accès au net depuis la machine ipcop

J'ai tenté de ré-installer ipcop depuis zero mais ça ne change rien.

Une idée ?

[Mister-Magoo]

Déjà vu, déjà répondu

Il faut chercher un peu, on en a encore parlé il y a pas longtemps

[betienne]

Va voir ici :

http://forums.ixus.fr/viewtopic.php?t=4 ... t&start=30

Tu cherches le post de Vehrsey qui a fait le patch qui va bien (installé et testé). Ce patch corrige dans snort.conf le n° de version.

Le patch est très bien fait, vraiment pro, même s'il ne fait qu'une petite chose il prend toutes les précautions pour bien le faire. C'est pas si fréquent !!!

Le lien du patch : http://uploading.com/files/get/d41m5cm4/ ou http://dl.free.fr/bOLyH3vYl

Bon travail à tous.

[jdh]

Tant qu'à donner des précisions, il serait aussi utile de rappeler aussi le point de vue de certains (et entre autres le mien) :

Snort est typique de la fausse bonne idée :
- intéressant sur le papier et même logique,
- totalement irréaliste en pratique dans de petites structures,
- de plus, TRES mal placé sur un firewall.

Les raisons :
- le placement : la sonde doit être à l'intérieur du réseau (et non à sa périphérie), sans adresse ip, sans aucun lien avec aucune machine,
- il faut 2 ressources pour en avoir un intérêt exploitable : le temps et l'expertise.
- l'expertise : il faut savoir interpréter les alertes et notamment distinguer le faux positif : pour cela, il faut être expert en paquet IP ainsi qu'en services réseaux,
- le temps : il faut être capable de réagir immédiatement : quel intérêt de réagir le lundi matin pour un paquet bizarre du vendredi soir ?

Bref, que l'on s'informe, que l'on expérimente, pourquoi pas ? Mais, en prod, pas d'IDS dans une pme avec un service informatique de taille moyenne ! Dans une structure qui a la disponibilité, la matière, pourquoi pas !

Pour la population du forum, cela doit représenter moins de 1% des membres.
De plus, ceux qui mettent cela en pratique, n'utilise certainement pas ipcop pour cela ! Ce qui nous amènent à 0% !

En fait, il est logique de trouver Snort, outil Open Source de référence dans le domaine, sur un ipcop (il existe le package pour pfSense aussi). Il est moins logique de l'utiliser ...


NB : bien que travaillant depuis plus de 10 ans sur des firewall de tout type et pour des entreprises variés plus ou moins grande, je ne suis pas personnellement assez expert en IDS pour en tirer profit.

[cyrakuse]

Merci pour vos réponses.

Avec le patch, tout fonctionne nickel.

[betienne]

C'est un éternel débat ...

Entre rien et un système très élaboré il y a un monde. Le même monde entre un débutant et un vieil expert.

Et pour ceux qui sont entre les deux il faut quelque chose qui va les faire progresser. Alors même si leur sécurité parait illusoire ce sera mieux que rien et petit à petit ils amélioreront leurs compétences.

Donc je persiste à installer Snort+Guardian sur une passerelle IPCop et à suivre les logs des blocages de Guardian. à force j'établis ma liste blanche car il y a quelques faux positifs (par exemple smtp.orange.fr:25).

J'installe cette configuration chez pas mal de clients (petites PME jusqu'à 50 postes) et je regarde les logs une fois par jour. Bien sûr si il y a une intrusion le vendredi AM (merci les RTT) on verra les dégats lundi matin ... Le client est prévenu de ce risque, il sait ce qu'il économise, c'est justement le prix du risque.

Donc je vais faire hurler les amiraux mais c'est mieux que la "live box" ou le "speed touch" directement sur le switch et cette configuration existe dans bon nombre d'entreprises.

Bon travail à tous

[jdh]

On a déjà parlé de ce débat.

Et je n'ai pas de réponse à :

Il n'est pas acceptable de faire croire à un client que l'IDS lui apporte plus de sécurité alors qu'il n'y a ni le temps ni l'expertise.

Qu'une SSII propose du support pour l'IDS, pourquoi pas ?
Mais, moi en tant que client, je voudrais savoir quelle est l'expertise de la SSII et comment elle répond à expertise + temps. Notamment, elle doit forcément m'annoncer qu'elle a au moins 2 intervenants ayant une dispo importante (c'est à dire pas trop pris aussi par du support, de l'install serveur) et ayant une expertise 10 ans sur tous types de paquets ip/services classiques.

Un IDS peut amener une alerte : tel paquet à tel instant.
Il FAUT répondre rapidement : ce paquet comporte un risque réel ou non. (temps + expertise)

Sans ces 2 dimensions, l'IDS n'apporte aucune sécurité supplémentaire ni information UTILE.
Donc il est faux de vendre de la sécurité inexistante ou de l'information inutile.


Quand à comparer cela à une box ou un routeur de base, il est clair qu'il faut commencer par BOT (et le filtrage en sortie) avant QUOI QUE CE SOIT.

[betienne]

BOT c'est évident, c'est le premier addon à installer.

Ce que je dis aux clients c'est que je regarde une fois par jour les logs de Guardian pour examiner les éventuels faux positifs et c'est tout !
Pour le reste IPCop est une sorte de "boite noire" et il faut le présenter comme tel au client.

Pour les clients ce n'est pas cher, c'est suffisamment sécure quand ils n'ont qu'un serveur webmail un serveur web et un serveur FTP. Si en plus on contrôle à minima les serveurs avec chkrootkit et logwatch en cron c'est pas mal.

Enfin on a plus de chances de crasher un disque dur que de subir une intrusion dévastatrice.

Donc tout est toujours une question d'équilibre entre les exigences les risques et le budget. Il n'y a donc pas une seule bonne solution, ça se saurait, mais une infinité. La meilleure preuve c'est que les développeurs d'IPCop on créés un système flexible et que cette flexibilité a généré des "vocations" pour la création d'addons. Si on prend l'exemple de l'addon AdvProxy, il n'est pas conforme à l'orthodoxie sécuritaire puisque il se place sur la passerelle. Pourtant le développeur (M. Sondermann) n'a pas l'air d'être un crétin incompétent, son produit est superbe et utilisé sur des milliers de passerelles.

Donc "tout est dans tout et réciproquement" (je déconne) ... il n'y a pas de vérité, que des points de vue mais c'est un troll plus philosophique qu'il faudrait poursuivre sur un autre fil.

Bon travail à tous.