Dimensionnement hardware pour Snort

[o_ttt]

Bonjour,

D'après vos expériences, quelles sont les configurations matérielles requises pour utiliser Snort en mode IDS en fonction des débits à analyser (1 Gbps...) ? A savoir CPU, RAM, carte réseau... Notamment pour une utilisation avec une distribution Debian.

Merci d'avance.

[jdh]

Moi, je chercherai avec http://marc.info/?l=snort-users&w=2&r=1&s=hardware&q=b

Par exemple, http://marc.info/?l=snort-users&m=128931962818381&w=2 me semble correct (bon c'est pour Fedora)

1 giga : belle ligne Internet !
Je croyais qu'une ligne gigabit était capable d'écrouler n'importe proc multicore actuel ?!

[o_ttt]

Merci pour les liens.

Apparemment c'est tout à fait jouable d'analyser un traffic de l'ordre du gigabit par seconde.
J'ai trouvé des documents qui indiquent qu'un proc à 3.4 GHz pouvait faire l'affaire. Pour la RAM j'ai vu 1Go mais j'ai de sérieux doutes.

Je poursuis mes recherches, si quelqu'un a des idées !

Merci.

[ccnet]

Avez vous regardé le forum Snort ?
Oui c'est faisable 1 Gbits mais combien de sondes, placées comment, quelle utilité ... ?

[o_ttt]

Oui j'y ai jeté un coup d'œil. Bizarrement je trouve un peu partout sur le net qu'il est possible d'analyser 1Gbps avec une machine, mais quand je lis ce document officiel je ne comprend plus trop : http://assets.sourcefire.com/snort/depl ... apping.pdf

Si quelqu'un pouvait m'aider à le décrypter.

[ccnet]

Quel est le problème avec ce document ?

[o_ttt]

J'ai l'impression qu'il indique qu'il est préférable d'avoir un capteur pour 100Mb/s.

[ccnet]

Je comprend que ce document fait l'hypothèse qu'il y a un certain nombre de segments réseaux à surveiller et que l'on place un sonde sur chacun. Une sonde étant physiquement une carte réseau sans adresse ip. Le tout est agrégé ensuite via un commutateur par exemple dont on utilise le port span (port de copie).