O HLBR é um projeto brasileiro destinado à segurança em redes de computadores. O HLBR é um IPS (Intrusion Prevention System) bastante eficiente e versátil, podendo ser usado até mesmo como bridge para honeypots e honeynets. Como não usa a pilha TCP/IP do sistema operacional, ele é "invisível" a outras máquinas na rede e atacantes, pois não possui número de IP.
[ Hits: 80.440 ]
Por: Dailson Fernandes (fofão) - http://www.dailson.com.br em 14/07/2008
Todos os logs do HLBR estão em /var/log/hlbr (local padrão). Lá você encontrará um arquivos textos com extensão .log e arquivos de dump do tcpdump com extensão dump.
Para visualizar os arquivo de log em modo texto basta usar o vi. Ex: vi hlbr.log. Para visualizar os dumps do tcpdump, utilize a seguinte sintaxe:
# tcpdump -s 1500 -vvv -tttt -X -r hlbr.dump
Onde:
-s: Tamanho máximo do segmento (mtu)
-vvv: Em modo detalhado
-tttt: Modo de tempo detalhado (hora e data)
-X: Exibe os valores em Hexadecimal
-r: Especifica o arquivo de entrada.
Nota:
1) para visualizar com o TCPDUMP, este aplicativo deve estar instalado no sistema. Para isso utilize "apt-get install tcpdump" (caso você use Debian e derivados).
[4] Comentário enviado por dailson em 15/07/2008 - 12:27h
Bom
As regras tem sido atualizadas a cada versão e nos fóruns.
Estamos providenciando um repositório de regras para que vc possa atualiza-las. Porém ainda nao está pronto.
Em breve vou postar no meu site e aqui um artigo sobre novas regras.
[6] Comentário enviado por rootkit em 23/07/2008 - 12:19h
Dailson,
Não seria uma boa idéia, adicionar uma terceira placa de rede á máquina, e subir uma ligação entre ela e o servidor de logs, rodando syslog-ng ? Desta forma, seria mais fácil a visualização remota dos logs.
Excelente artigo, estou pondo em produção hoje para testar, parabéns :)
[7] Comentário enviado por dailson em 23/07/2008 - 14:29h
Rootkit
Isso é uma idéia excelente, porém considerada extremamente perigosa pela equipe Mantenedora do HLBR. Se for para laboratório, a idéia é excelente. Se for para ambiente de produção, não é recomendado por eles.
Testa e posta os resultados pra gente!
Um grande abraço