¿Cómo puede un administrador elegir qué reglas de Snort habilitar?

Question

¿Cómo puede un administrador elegir qué reglas de Snort habilitar?

#1 de Kapish M (3 votos)

9

El propósito es configurar Snort como un IDS para monitorear la actividad de la red y alertar sobre el conjunto estándar de cosas en las que un IDS debe alertar - > ataques de desbordamiento de búfer, inyección ataques, análisis de puertos y amp; fugas de información para nombrar algunas, o en general, los intentos de detectar / explotar vulnerabilidades, filtrar datos confidenciales y evadir políticas.

¿Cómo se supone que un administrador de red decide qué reglas de Snort debería habilitar para su red?

¿Cómo se puede habilitar una lista corta en los archivos .rules y las reglas (en ellos)?

attacks ids snort

pregunta pnp 04.09.2012 - 10:22

fuente

1 respuesta

Lea otras preguntas en las etiquetas attacks ids snort

¿Cualquier controlador de eventos que se aplique a elementos ocultos? Huellas digitales del dispositivo y vigilancia masiva por computadora

score 3 · Accepted Answer

Usted acaba de hacer la pregunta más decisiva que tiene un gran impacto en la detección. Es un trabajo a tiempo completo tedioso (bastante interesante) y continuo para afinar mejor los IDS, especialmente en redes grandes.

Reglas generales

Muy importante. ¡Conoce tu entorno muy bien! No hay excusas este requisito. Tienes que saber lo que estás protegiendo, red. Rangos, aplicaciones, cómo se ejecuta la aplicación y se desarrollan en: incluidos los tipos de servidores web (iis, apache, etc.), sistemas operativos (Linux, Windows, Cisco cosas, etc.), tecnología (asp, php, java, etc.), otros productos (erp, bases de datos, etc.) y, lo que es más importante, qué tipo de datos (ssn, información bancaria, PII, etc.).
Estudie y compile una lista de toda la información anterior, y los segmentos de red apropiados en los que residen. Le proporcionará un mapa claro de las firmas que realmente necesita, si todos sus servidores web ejecutan IIS con ASP .net, entonces no hay necesidad de firmas php. Si usted es un banco, entonces desea que la mayoría de las firmas de fuga de datos estén activadas. Deberá realizar esta clasificación y clasificación de los tipos de reglas que necesita.
Deje las firmas estándar como el escaneo de puertos, actividad maliciosa, gusanos / virus principales, etc. activos en IDS, siempre ayudan.
Mejore y actualice la lista regularmente, haga un seguimiento de los cambios en el medio ambiente, nuevo software / aplicación agregados hasta la fecha de firma lista, y luego seleccione cualquier nueva actualización de firmas.