Snort

Internet Internet Sicherheit
#1

Servus,

hat jemand Erfahrung mit den Snort Rules? Funktioniert das in der Praxis?

Ich habe vor in einem LAN Labor mal testweise 5 Win PCs hinter IPCop und Snort laufen zu lassen ohne Virenscanner. Um auszutesten ob die Maschinen ähnlich geschützt sind plane ich 5 Azubis downloade, zocken, mailen und chatten zu lassen was das Zeug hält. Ohne Vorgaben und mit ausgeschalteter Win Firewall.

Verrückte Idee? Naja. Wenns funktioniert kaufen wir nur noch die Snort Rules für $399/Jahr und nicht mehr tausendeuroweise Virenscannerlizenzen.

Hat schon mal jemand versucht und ging schief oder gut?

Bitte nur Antworten mit praktischer Erfahrung.

Danke

LG
widecrypt

#2

Hi,

eigentlich keine so gute Idee, da Snort und Virenscanner zwei Grund verschiedene Dinge sind. Snort ist ein IDS_System zur Überwachung des Netzwerks, um Angriffe auf das Netzwerk zu registrieren und einen zu warnen. Gleichzeitig ist Snort auch ein IPS-System und kann gewisse Packete blocken. Wenn jetzt ein Azubi irgendein Programm aus dem Web downloaded und sich ein Virus darin befindet, dann erkennt Snort das nicht, sondern nur der virenscanner (unter Umständen, man kann sich jedoch nicht darauf verlassen).

Wenn du Geld sparen möchtest, rüste um auf Linux, dafür brauchst du werder eine Lizenz für das Betriebssystem noch eine für Virenscanner.

Muss aber auch sagen, das ich zwar Snort nutze, aber kein Profi darin bin, und falsch liegen könnte mit meiner Aussage.

Gruß

#3

Servus,

eigentlich keine so gute Idee, da Snort und Virenscanner zwei
Grund verschiedene Dinge sind. Snort ist ein IDS_System zur
Überwachung des Netzwerks, um Angriffe auf das Netzwerk zu
registrieren und einen zu warnen. Gleichzeitig ist Snort auch
ein IPS-System und kann gewisse Packete blocken. Wenn jetzt
ein Azubi irgendein Programm aus dem Web downloaded und sich
ein Virus darin befindet, dann erkennt Snort das nicht,
sondern nur der virenscanner (unter Umständen, man kann sich
jedoch nicht darauf verlassen).

Erst mal Danke für die Antwort. Also hab ich da was bei Snort falsch verstanden.
Klingt logisch was du da sagst. Der Schadcode kann erst schlüssig erkannt werden wenn er die NIC passiert hat und wieder in was ausführbares zusammengesetzt wurde. Aber dann hat er Snort passiert und sitzt dahinter.
Der Nutzen von Snort ist für mich also eher gering und rechtfertigt den Aufwand nicht.

Wenn du Geld sparen möchtest, rüste um auf Linux, dafür
brauchst du werder eine Lizenz für das Betriebssystem noch
eine für Virenscanner.

Für uns ist das eine Lösung.
Wenn ich eine Möglichkeit finde wie ich per Mausklick oder Spritze die User in den Büros update werde ich das machen. Per Seminar tu ich mir das nicht an.
Und erst die Überzeugungsarbeit in der GF das es die Seminare braucht…
Als das Thema Linux mal in anderem Zusammenhang hier aufflammte hab ich einen Silberstreif am Horizont gesehen. Aber nur kurz. Ich hab meinen Laptop mit ner Ubuntu Live Version gebootet und den Chef mal drauf losgelassen. Ohne Erklärung.
Hatte alles eingestellt für die inet-Verbindung. Er hätte nur auf den Firefox klicken müssen um ins Internet zu kommen. Keine Chance. Hat sich 10 Minuten nen Wolf gesucht nach dem Internet Explorer…

Wenn ich dann mit dem Argument der Lizenzkosten komme, kommt er mit dem Argument der Seminarkosten und der Personalkosten. Trainierte M$-User gibts wie Sand am Meer. Trainierte Linux-User nicht. Und da hat er Recht.

widecrypt

#4

Es kommt natürlich auch darauf von welche Programme ihr in eurem Unternehmen abhängig seit, wenn es sich um Programme handelt, die es nur unter Windows gibt macht eine Umstellung natürlich keinen Sinn, aber wenn man z.B PC’s nur für’s Internet braucht und um ein paar Briefe zu schreiben, dann lohnt es sich.

Ich kenne das Problem des Wiederstands gegen Linux und würde wie folgt argumentieren: Eine vernünftige Firma stellt ca. alle 5 Jahre das System um, bei meiner Ex-Firma begann ich mit Win98 kurze Zeit später stellten wir auf XP um und vor einem Jahr wurde auf Win7 umgestellt.
Nehmen wir mal ein paar fiktive Zahlen, ihr braucht 20 Lizenzen auf einen Zeitraum von 20 Jahren gerechnet, demnach 4 Umstellungen, 100€ pro Lizenz macht 8000€ (ist alles nur grob gerechnet) + 20 € pro Virenscannerlizenz pro Jahr, macht zusammen 16000€ Kosten in 20 Jahren.
(Ich weiss das es da Gruppenlizenzen gibt, ist jetzt alles nur grob gerechnet)

Ihr lasst 10 gute Mitarbeiter schulen (hab dafür kein Anhaltspunkt was das kostet) und diese schulen innerbetrieblich weiter, auch für künftige Mitarbeiter, damit entfallen schon mal weitere Schulungskosten.
Desweiteren ist gerade Ubuntu sehr benutzerfreundlich gemacht, ein Wochenendschulung dürfte ausreichen, wenn man nur ins Internet damit geht oder Briefe schreibt. Natürlich braucht ihr einen Admin der sich perfekt mit der Materie auskennt und alles verwaltet.

Fazit: Die Firma kommt auf langen Zeitraum gesehen besser weg und hat ein wesentlich sicheres System (Wie würde mein Prof jetzt sagen? Das einzig wirkliche Betriebssystem).

Gruß

#5

Hallo,

Ich hab meinen Laptop mit ner Ubuntu Live
Version gebootet und den Chef mal drauf losgelassen. Ohne
Erklärung.
Hatte alles eingestellt für die inet-Verbindung. Er hätte nur
auf den Firefox klicken müssen um ins Internet zu kommen.
Keine Chance. Hat sich 10 Minuten nen Wolf gesucht nach dem
Internet Explorer…

das sehe ich wie 3qui0x (oder so)

Wenn es bei Ubuntu mit Gnome unten auf der Taskleiste Symbole für Internet, Mail, Spreadsheets, Texte und Präsentationen gibt, wird auch Dein Chef damit umgehen können. Seminar- und Personalkosten sehe ich erst einmal gar keine.

Cheers, Felix

#6

Hallo,

eigentlich keine so gute Idee, da Snort und Virenscanner zwei
Grund verschiedene Dinge sind.

Eben. Ganz offensichtlich wird das dann, wenn man sich vorstellt, daß Schadsoftware per https oder anders verschlüsselt heruntergeladen wird; da hat ein Programm, welches den den Datenverkehr ansieht (Snort) schlichtweg keine Chance.

Eine Umstellung auf Linux halte auch ich für einen prinzipiell gangbaren kostengünstigen Weg. Ohne Erfahrung sollte man so ein Projekt in „professionellem“ Umfeld aber nicht mal eben lostreten.

Sebastian

#7

Hallo,

Desweiteren ist gerade Ubuntu sehr benutzerfreundlich gemacht,

Ich persönlich sehe Ubuntu als nicht „benutzeerfreundlicher“ an als andere Linux-Distributionen, also etwa Debian.

natürlich braucht
ihr einen Admin der sich perfekt mit der Materie auskennt und
alles verwaltet.

Eben. Da unterscheiden sich verschiedene Distributionen weitaus mehr. Ob ich einen Nutzer an SuSE, Debian, RedHat oder Ubuntu setze ist eher gleich, für den Admin ist der Unterschied da größer.

Wobei ein fähiger Admin sicherlich keine Probleme haben sollte, sich auf die distributionsspezifischen Werkzeuge und Besonderheiten einzustellen.

Se „Debian“ bastian

#8

Hi Sebastian,

Eben. Da unterscheiden sich verschiedene Distributionen
weitaus mehr. Ob ich einen Nutzer an SuSE, Debian, RedHat oder
Ubuntu setze ist eher gleich, für den Admin ist der
Unterschied da größer.

Wobei ein fähiger Admin sicherlich keine Probleme haben
sollte, sich auf die distributionsspezifischen Werkzeuge und
Besonderheiten einzustellen.

Genau! LPIC geprüfte Admins müssen meines Wissens nach sich mit Suse, Debian, Ubuntu und RedHat gleichgut auskennen, ist alles Inhalt der Prüfungsanforderungen.

Gruß

#9

Hallo,

LPIC geprüfte Admins müssen meines Wissens nach sich
mit Suse, Debian, Ubuntu und RedHat gleichgut auskennen, ist
alles Inhalt der Prüfungsanforderungen.

„gleichgut“ ist keine Anforderung aber es soll eben keine Festlegung auf eine Distribution stattfinden. Daß es eine „Lieblingsdistribution“ des Absolventen geben darf ist dann natürlich klar …

Gruß,

Sebastian