Snort + BarnYard2 + Snorby no Slackware 14.1
Sistema de detecção de intrusão: Slackware com Snort + BarnYard2 e Snorby pelo Apache com módulo passenger e logs armazenados pelo MySQL.
O que é e como funciona uma ferramenta IDS
Basicamente, podemos definir IDS como uma ferramenta inteligente capaz de detectar tentativas de invasão em tempo real. Esses sistemas podem atuar de forma, a somente alertar as tentativas de invasão, como também em forma reativa, aplicando ações necessárias contra o ataque.
Em outras palavras, o IDS é um sistema de configurações e regras que tem como objetivo gerar alertas quando detectar pacotes que possam fazer parte de um possível ataque.
Uma ferramenta IDS serve basicamente para nos trazer informações sobre nossa rede, informações como:
Enfim, a partir dele, você vai tomar conhecimento do que realmente se passa em sua rede e em casos extremos, poderá tomar as medidas cabíveis para tentar solucionar qualquer problema.
O Snort®, uma tecnologia de código aberto de detecção e prevenção de intrusão, foi criada em 1998 por Martin Roesch, fundador da Sourcefire®. Snort utiliza uma linguagem dirigida por regras, que combina os benefícios do protocolo de assinatura, e os métodos de inspeção baseados em anomalia. Com sua dramática velocidade, potência e desempenho.
O Barnyard aumenta a eficiência, funcionando como um buffer entre o snort e o MySQL, reduzindo a carga do sistema e a perda de pacotes. O snort grava os dados em arquivos unificados binários (unified) para posterior interpretação do Barnyard, que fará a inserção dos alertas no banco de dados.
O Snorby é um dos frontends utilizados para visualizar os alertas gerados pelo snort, ele também contém gráficos e estatisticas dos alertas coletados pelo snort. Possui uma interface bastante intuitiva e moderna. O Snorby é desenvolvido utilizando a linguagem de programação ruby on rails para plataforma web.
Em outras palavras, o IDS é um sistema de configurações e regras que tem como objetivo gerar alertas quando detectar pacotes que possam fazer parte de um possível ataque.
Uma ferramenta IDS serve basicamente para nos trazer informações sobre nossa rede, informações como:
- Quantas tentativas de ataques sofremos por dia;
- Qual tipo de ataque foi usado;
- Qual a origem dos ataques.
Enfim, a partir dele, você vai tomar conhecimento do que realmente se passa em sua rede e em casos extremos, poderá tomar as medidas cabíveis para tentar solucionar qualquer problema.
O Snort®, uma tecnologia de código aberto de detecção e prevenção de intrusão, foi criada em 1998 por Martin Roesch, fundador da Sourcefire®. Snort utiliza uma linguagem dirigida por regras, que combina os benefícios do protocolo de assinatura, e os métodos de inspeção baseados em anomalia. Com sua dramática velocidade, potência e desempenho.
O Barnyard aumenta a eficiência, funcionando como um buffer entre o snort e o MySQL, reduzindo a carga do sistema e a perda de pacotes. O snort grava os dados em arquivos unificados binários (unified) para posterior interpretação do Barnyard, que fará a inserção dos alertas no banco de dados.
O Snorby é um dos frontends utilizados para visualizar os alertas gerados pelo snort, ele também contém gráficos e estatisticas dos alertas coletados pelo snort. Possui uma interface bastante intuitiva e moderna. O Snorby é desenvolvido utilizando a linguagem de programação ruby on rails para plataforma web.
Fontes
- Instalação e configuração do Snort Inline (modo IPS), Baynard2, Mysql e PulledPork no Debian Squeeze [Artigo]
- Snort® | Sourcefire
- SNORT Brasil - Como funciona
- Conteúdo Open Source e segurança da informação.: Snorby - Instalação do frontend para snort