Servidor IDS

weslleysuporte
(usa Ubuntu)

Enviado em 22/09/2009 - 22:36h

Ola colegas, boa noite!

Estou pensando montar um servidor IDS, mas estou com duvidas de onde coloco servidor IDS na rede. bom lavai.


tenho um link dsl 2 mb, 1 switch 24 portas, 2 dois servidores e 8 maquinas clientes.

bom conversando com um colega ele me informou que eu teria que colocar o servidor IDS fora do servidor firewall, pois eu queria colocar tudo junto. então optei por colocar mais 1 total de dois servidores. o firewall que e ultilizado como roteador de internet ja esta rodando ok ele é servidor dhcp roteador de net e proxy.

só que ouvi a necessidade de saber de onde vem os ataque que venho sofrendo constantemente, e bloquear alguns deles, a questão é onde coloco o servidor IDS: Depois do modem usando assim duas placas de rede? Depois do firewall que roteia a internet? ou colocando ele no switch como uma maquina da rede. é uma duvida que tenho! na verdade não sem como explicar o que e a onde vou fazer. gostaria de uma ajuda se possivel até desenhado a topologia, tendo em vista que nunca fiz um servidor desses, já estou começando a configura-lo, até ai ok, mais onde coloca-lo e o que devo fazer? aguardo sujestão muito obrigado, deculpa pelo livro.

renato_pacheco
(usa Debian)

Enviado em 22/09/2009 - 22:52h

É o seguinte: a melhor maneira d se implementar um IDS é na porta gerenciável do switch. Eu sei q nem sempre tem jeito d fazer isso, pois nem todo mundo tem a grana pra fazer isso. Colocando antes do firewall vc não vai pegar os ataques externos, depois do firewall vc não pega ataques vindos da rede local e no switch vc num vai pegar é nada (pois o switch vai encaminhar os pacotes apenas para o destinatário). O q vc pode fazer (acho bem trabalhoso) é colocar 2 IDS's (um antes do firewall e outro depois). Assim vc conseguiria captar todo o tráfego. Qq coisa é só perguntar ae.

gesousa
(usa Ubuntu)

Enviado em 22/09/2009 - 23:23h

bom acho que a topologia para o tamanho da sua rede e já pela configuração que vc tem, seria esta que esta sendop abordado no artigo abaixo:

http://www.vivaolinux.com.br/artigo/Deteccao-de-intrusos-%28IDS%29-conceitos-e-implantacao-do-SNORT/...

é só pegar o seu servidor ids e colocar 3 placas, uma antes do firewall uma depois e uma na rede interna.

weslleysuporte
(usa Ubuntu)

Enviado em 23/09/2009 - 00:56h

ola amigo gesousa gostei da topologia,

http://img.vivaolinux.com.br/imagens/artigos/comunidade/IDSREDE.png

isso se enquadra realmente no que quero.

mas me explica uma coisa essa linha vermalha como esta funcionando, ele vem do modem vai um cabo para o IDS e outro para o server firewall, depois retorna para rede interna.

ou em ambas tem um hub/switch tipo depois de modem e outro depois do server firewall... ainda não conseguir entender essa topologia essa linha vemelha o que é na verdade, como vou fazer essa conexões, o que devo fazer... desculpa minha ignorancia e lance e que nunca fiz isso... gostaria de saber como vou fazer para colocar esse servidor IDS no meio do firewall e a rede interna, acho que conseguir explicar + - minha duvida.

o que é essa linha vermelha e como vou interceptar essa cabo do modem que vai para o roteardor firewall e meio complicado para mim.


aguardo respostas um forte abraço. se mais alguem poder me ajudar eu agredeço.

weslleysuporte
(usa Ubuntu)

Enviado em 23/09/2009 - 11:36h

alguém pode me ajudar?