Intrusion Detection System voor Windows 2000

[jelmervos]

Ik heb een Windows 2000 netwerk met een Microsoft ISA firewall. Deze schermt het netwerk behoorlijk goed af, maar 100% veiligheid haal je nooit natuurlijk.

Ik heb geen DMZ in m'n netwerk, en wil toch extra veiligheid. Dit wil ik bereiken door een IDS (Intrusion Detection System), dus een beter inzicht in wat er gebeurt en mocht ik indringers krijgen die m'n firewall weten we passeren, dan wil ik in staat zijn om hun doen en laten te volgen.

Wie heeft ervaringen met een IDS en welk pakket raden jullie aan voor Windows 2000 server?

[Captor]

Je kunt eens kijken op www.snort.org deze is gratis. Alleen is deze vrij ingewikkeld om mee te beginnnen. Je kunt ook een evaluatie van RealSecure downloaden op www.iss.net. Dit is een commercieel pakket. Ook Symantec levert ids's.

[jelmervos]

Thanks! Ik zal even kijken, als iemand verder nog goeie pakketten weet, ik hou me aanbevolen. Ben ook benieuwd naar jullie ervaringen met diverse pakketten.

[Predator]

Die van symantec zijn
Intruder Alert en Netprowler
Ik heb es een rapport gelezen van een security firma die deze voorstelde.

Zelf geen ervaring mee.
"Goedkoop" kan je ook wel op je buik schrijven waarschijnlijk

[schroevendraaier480]

Ik heb goeie ervaringen met Realsecure van ISS. Wel lastig installeren in het verleden. Geen ervaring met recentere versies.

Je moet hiervoor wel een werkstation opofferen, dat je enkel gebruikt voor IDS.

[TheManinBlack]

Wat veel bedrijven vaak doen, is dus een extra pc dedicaten voor logging en NIDS (Network based Intr....bla bla). Hierdoor heb je dus een PC die zich alleen maar met loggen bezig houdt.
Je kan je Windows 2000 logfiles hierheen schrijven bijvoorbeeld (met enig kunst-en-vliegwerk, dat wel). Met een switch is het traffic loggen iets lastiger geworden, maar lang niet onmogelijk.
Ik heb ook wel over de zgn Honeypot projecten gelezen, waarbij er vallen werden opgezet voor Hackers/Crackers met complete virtuele netwerkomgevingen en bestandssystemen. Meestal gebeurt het loggen via een Unix computer, of zelfs op een Macintosh (ken jij personen die een Mac kunnen rooten? .......Daarom dus)

[Verwijderd]

Op maandag 06 mei 2002 21:42 schreef TheManinBlack het volgende:
(ken jij personen die een Mac kunnen rooten? .......Daarom dus)

<blockquote><font size="1" color="FF0000">Modbreak</font><hr color="FF0000" size="1"><font size="1">Ik heb de rest ook maar weggedaan immers google + filenaam = bingo :{</font><hr color="FF0000" size="1"></blockquote>

heel leuk te combineren met de talloze bugs in de Microsoft Office software voor de Mac

Antwoord op jouw vraag: Ja, die mensen ken ik

EDIT: link dood gemaakt, anders krijg ik nog een usernote

[TheManinBlack]

Akkoord, alles is te kraken, zolang het maar een verbinding heeft met de grote boze buitenwereld, maar natuurlijk bedoel ik een beveiligde NIDS dedicated Macintosh.....niet de een of andere simpele I-Mac die een beetje in het netwerk rondhangt, mooi te zijn. Er zal dus weinig gebruikerssoftware op geinstalleerd staan, alleen het hoognodige. De applicaties die draaien zullen ook voorzien zijn van de nodige logging en verificatie (a la Tripwire e.d.), apart van de logging/monitoring applicaties die het netwerk in de gaten houden.

[bolke]

Op maandag 06 mei 2002 18:01 schreef Predator het volgende:
Die van symantec zijn
Intruder Alert en Netprowler
Ik heb es een rapport gelezen van een security firma die deze voorstelde.

Zelf geen ervaring mee.
"Goedkoop" kan je ook wel op je buik schrijven waarschijnlijk

Het moet draaien op Windows 2000 server. De apps die jij opnoemd draaien niet echt op Windows 2000 server.

Snort is een goeie keuze. Ik ken heel wat bedrijven die hiermee draaien. Zowel op Unix, Linux en Windows.

PS. IDS geeft geen extra beveiliging. Het detecteerd alleen maar. Een firewall en antivirus geeft beveiliging.

[Predator]

Op woensdag 08 mei 2002 10:47 schreef bolke het volgende:

[..]

Het moet draaien op Windows 2000 server. De apps die jij opnoemd draaien niet echt op Windows 2000 server.

Snort is een goeie keuze. Ik ken heel wat bedrijven die hiermee draaien. Zowel op Unix, Linux en Windows.

PS. IDS geeft geen extra beveiliging. Het detecteerd alleen maar. Een firewall en antivirus geeft beveiliging.

Het was voor gebruik op WinNT 4.0 SP6.0 machines.
Ik had niet gezien dat ie voor win2k S vroeg

IDS geeft indd geen extra beveiling in de letterlijke zin maar beveiling is zelden perfect.
Met IDS heb je dan nog hoop dat je het kan detecteren en snel actie ondernemen.
Anders moet je wachten tot er iemand onraad ruikt

[Semper Fight]

Specter Intrusion Detection System
is een hele goede, alleen beetje prijzig.
Heb hem een tijdje zien draaien, en het is echt geweldig.

Staat ook een uitgebreide revieuw in Windows 2000 magazine.
Ik zal kijkken of ik de aflevering zo kan vinden.

Dit zijn onder andere systemen die "gesimuleerd" kunnen worden.

[jelmervos]

Ik heb geloof ik alle Win2000 magazines dus zal eens die door gaan lezen.

Thanks!

[Semper Fight]

Op woensdag 08 mei 2002 16:45 schreef jelmervos het volgende:
Ik heb geloof ik alle Win2000 magazines dus zal eens die door gaan lezen.

Thanks!

No problem, daar zijn we hier op GoT om elkaar te helpen.
Om het zoeken in de Windows 200 magazine wat te vergemakkelijken; de auteur is: Eric Denekamp.

[Verwijderd]

HOi heb je al eens over cisco nagedacht, ook kun je eens op deze http://www.nss.co.uk/ForthcomingEvents/ids.htm link kijken.

Hier zijn een aantal produkten met elkaar vergeleken

[Verwijderd]

De volgende produkten zijn getest

Products included in the report include:-

CA eTrust
Cisco Secure IDS *
Entercept
Enterasys Dragon Sensor
GFI LANguard
Intrusion.com *
ISS Real Secure *
NetForensics
NFR NID-200 *
NFR Host *
nSecure nPatrol IDS
Okena StormWatch *
Snort *
Sourcefire OpenSnort *
Symantec Intruder Alert *
Symantec Net Prowler *
Tripwire for Servers

* denotes new or updated products