Onderwerp: Snort <==> hardware

Met mijn 4x100Mbit heb ik nog maar zelden een packet-drop gezien.

Ipv acid kun je eens naar base kijken. Maar bedenk eens hoe je met de snort-data omgaat. Ik hoefde alleen (realtime) mail-alerts. Heb ik geen http eo db nodig. Vertraagt dan alleen maar onnodig. Zie mijn docje.

Ik ben zeer tevreden over snort...

Origineel geplaatst door mrleejohn
Met mijn 4x100Mbit heb ik nog maar zelden een packet-drop gezien.

Ipv acid kun je eens naar base kijken. Maar bedenk eens hoe je met de snort-data omgaat. Ik hoefde alleen (realtime) mail-alerts. Heb ik geen http eo db nodig. Vertraagt dan alleen maar onnodig. Zie mijn docje.

Ik ben zeer tevreden over snort...

Enig idee hoeveel traffic hij moet snuiven?
Je hebt alles op één doos?

Ik zal meer dan alerts nodig hebben; ik zal de data ook 'preventief' willen bekijken. Dus een frontend is erg handig.

Ik heb um om ons clustered dmz zitten. Per dag gemiddeld een gig of 4. Nie zo heel veel nee.

Op 1 doos ja. Alle alerts per mail. Archief via mailman... geen handige analyses/stats, maar prima archief.

Origineel geplaatst door host3000


Enig idee hoeveel traffic hij moet snuiven?
Je hebt alles op één doos?

Ik zal meer dan alerts nodig hebben; ik zal de data ook 'preventief' willen bekijken. Dus een frontend is erg handig.

Preventief kijken word moeilijk, je zult uit een 100mbit stream aan data mits je het goed configureert een hoop false positives krijgen. Althans dat was onze ervaring. Je krijgt zowiezo straks in 1x een hele hoop data waarvan het vrijwel onmogelijk word om het allemaal in 1x te overzien. Vraag jezelf vooral af; tegen WAT wil je jezelf beschermen.

Het configureren van snort, en dan bedoel ik met name het goed configureren neemt best veel tijd in beslag voordat je toch een ruleset hebt die alle goeie dingen logged die jij echt specifiek wilt hebben. Maar het geeft mits natuurlijk alles goed op zijn plaatst staat een heerlijk stukje extra inzicht in je netwerk en wat er voorbij de lijn vliegt.

Neemt trouwens niet weg dat er toch nog wel eens met enige regelmaat diverse exploits/bugs in snort worden gevonden. De Snort ruleset is wel betrouwbaar aangezien de rulesets van snort ook vaker gebruikt worden in FortiNet firewalls welke ook betrouwbaar zijn.