Re: snort logs

Article View: be.comp.security

Article #874

#874

From: Gunter Luyten
Date: Mon, 08 Mar 2004 21:43

28 lines
1990 bytes

Evilninja wrote:
> Ik heb een FreeBSD systeem met ipfw en snort als ids. Nu was mijn vraag, als
> de ids achter de fw  ligt en je gaat er van uit dat je fw correct is
> geconfigged, dan zou je min of meer weinig intrusion detects moeten krijgen
> in je snort logs. In mijn geval zijn er dat +/-300 aanvallen per dag. Dit
> lijkt mij redelijk veel. Betekend dit dat ipfw nog ergens lek loopt ? Of dat
> snort veel valse positieve geeft ?
> 
> Ik kan mij voorstellen dat wanneer je de ids in je dmz plaatst je enkele
> tientallen Mb aan log's verzamelt per week...
> 
> Standaard word alles inkomend geblokkeerd buiten enkele poorten. Interne
> traffiek naar buiten word genegeert door snort.
> 
> Grtz,
> JVL
> 
> 

Beste,

Als je snort draait op je firewall ziet snort wel degelijk de traffiek 
die door je firewall geblockt wordt.  Dus vele "attacks" die je in je 
logs zal terugvinden zijn eigenlijk gewoon mislukte SYNs naar een 
gesloten poort.

Mvg,
Gunter

Technical Details

Message-ID: <404CE8EA.6010108@xs4all.be>

Path: arc1-ca.pugleaf.net!archiver1.google.com!news2.google.com!news.maxwell.syr.edu!transit.news.xs4all.nl!not-for-mail

References: <c2ca8s$8a1$1@reader11.wxs.nl>

Show Full Headers

Complete Article Headers

X-Google-Language: DUTCH,ASCII-7-bit
X-Google-Thread: 113446,a01e930eda011e30
X-Google-Attributes: gid113446,public
X-Google-ArrivalTime: 2004-03-08 13:42:55 PST
Path: arc1-ca.pugleaf.net!archiver1.google.com!news2.google.com!news.maxwell.syr.edu!transit.news.xs4all.nl!not-for-mail
Message-ID: <404CE8EA.6010108@xs4all.be>
Date: Mon, 08 Mar 2004 22:43:06 +0100
From: Gunter Luyten <gunter.luytenBLAH@xs4all.be>
User-Agent: Mozilla/5.0 (X11; U; Linux i686; en-US; rv:1.6) Gecko/20040118
X-Accept-Language: en-us, en
MIME-Version: 1.0
Newsgroups: be.comp.security
To: Evilninja <jan.van.linden@NOSPAMpi.be>
Subject: Re: snort logs
References: <c2ca8s$8a1$1@reader11.wxs.nl>
In-Reply-To: <c2ca8s$8a1$1@reader11.wxs.nl>
Content-Type: text/plain; charset=us-ascii; format=flowed
Content-Transfer-Encoding: 7bit
Lines: 28
NNTP-Posting-Date: 08 Mar 2004 22:42:54 CET
NNTP-Posting-Host: 82.146.104.74
X-Trace: 1078782174 news.xs4all.nl 565 [::ffff:82.146.104.74]:13253
X-Complaints-To: abuse@xs4all.nl

Reply to Parent Message