IDS notwendig?

[bjunix]

Hallo,

nochmal das thema IDS.

Ich bin gerade dabei mich über IDS im generellen schlau zumachen. Nun bin ich mir aber unsicher ob ich ein umfangreiches IDS überhaupt benötige. Sowie ich das mitbekommen habe wird es hauptsächlich in größeren Netzwerken eingesetzt.

Ich betreibe einen root server privat und möchte nun kommerziell einen Shop mit osCommerce aufsetzen. Daher mache ich mir Sorgen über die Sicherheit. Inwieweit würde ich ein IDS benötigen. Ich denke es reicht aus die LogFiles zu anaylieren und eventuelle änderungen aufzudecken.
Ein Packetsniffer finde ich etwas übertrieben.

Wollte mir aber noch andere Meinungen einholen.

grüße bjunix

[captaincrunch]

Nun bin ich mir aber unsicher ob ich ein umfangreiches IDS überhaupt benötige. Sowie ich das mitbekommen habe wird es hauptsächlich in größeren Netzwerken eingesetzt.

Nicht unbedingt "nur" in "größeren", viel eher in solchen Netzen, die erhöhten Schutz benötigen.

Daher mache ich mir Sorgen über die Sicherheit.

Wie sieht denn dein sonstiges Sicherheitskonzept aus? Bist du wirklich schon so weit, dass du dich statt Prävention auf Dinge konzentrieren kannst, die zwar warnen können, es dann aber u.U. schon zu spät ist?

Ein Packetsniffer finde ich etwas übertrieben.

Wobei ein IDS auch noch ein wenig mehr ist als ein einfacher Paketsniffer. ;)

Ich betreibe zwar ein IDS (Prelude) auf einem Server, aber eher aus Neugierde und um ein wenig über die ganzen Kiddies schmunzeln zu können. Viel mehr Sinn macht ein IDS auf einem Rootie IMHO nicht, es sei denn, man will mit aller Gewalt CPU-Zyklen "verbraten". ;)

[lord_pinhead]

Ich betreibe einen root server privat und möchte nun kommerziell einen Shop mit osCommerce aufsetzen. Daher mache ich mir Sorgen über die Sicherheit. Inwieweit würde ich ein IDS benötigen. Ich denke es reicht aus die LogFiles zu anaylieren und eventuelle änderungen aufzudecken.
Ein Packetsniffer finde ich etwas übertrieben.

Also mit ein Webshop würde ich mir schonmal zuerst gedanken machen wie ich den Apache absichere. Snort und Prelude dienen nur zur Einbrucherkennung, teilweiße könnte ich aber damit auch Verbindungen blockieren, ist aber nicht Sinn eines IDS. Ich nutze Prelude auf meinen Root um zu sehen mit welchen Mitteln die Versuchen zu kommen, daraus kann man dann auch neue Regeln bauen. Möchtest du allerdings das nie etwas passiert, dann ist vorarbeit von nöten. Neben dem durchsuchen von dem Forum hier, solltest du dir noch für Apache mod_rewrite ansehen (%20 und co. gleich damit sperren) und mod_security (Regeln für mod_sec), nachlesen wie man den Apachen Chrootet und was noch wichtig ist, das du ein Kernel mit GRSec hast und vielleicht RSBAC. Alleine die beiden Programme benötigen lange bis man sich darin wirklich auskennt :)

Btw.: Was willst du für ne Shopsoftware nutzen? Schonmal Gedanken gemacht?

[captaincrunch]

Btw.: Was willst du für ne Shopsoftware nutzen? Schonmal Gedanken gemacht?

und möchte nun kommerziell einen Shop mit osCommerce aufsetzen

;)

[lord_pinhead]

Hoppla überlesen :D thx cc

Ok, osCommerce würde ich nicht gerade verwenden. Das Projekt wird nicht mehr weitergeführt und um osc ohne Register Globals zu nutzen ist ein bischen Arbeit nötig den Hack einzubauen. Ich bin da mehr der Fan von XTCommerce geworden. Kostet auch nix und hat mehr Features. Ausserdem hab ich bisher keine Exploits dafür gesehen, und mit mod_sec und mod_rewrite dürfte da Crossite Scripting auch relativ unmöglich sein.

[prickelpit]

Das Projekt wird nicht mehr weitergeführt

Hä, wie kommst du denn darauf?

Ausserdem hab ich bisher keine Exploits dafür gesehen

Bei aktuellen Release von OSCommerce ist mir aber auch keiner bekannt.

[lord_pinhead]

Das Projekt wird nicht mehr weitergeführt

Hä, wie kommst du denn darauf?

osCommerce 2.2 Milestone 2: <-- der aktuelle Meilenstein hab ich seit März 04 schon woanders laufen, seitdem gab es nur noch ein paar Module von der Community

Ausserdem hab ich bisher keine Exploits dafür gesehen

Bei aktuellen Release von OSCommerce ist mir aber auch keiner bekannt.

Ausser das Register Globals aktiv sein muss und in OSC meines wissens keine Prüfung der URL hat? Naja, würde lieber den OSC Fork nehmen, aber liegt bei jedem selbst, XTC war ja nur ein Vorschlag.

@Capt.Crunch
Ich erinnere mich aber jetzt gerade das Snort in seinen Regeln auch eine drop bzw. reject Aktion hatten und via IPTables dann die Packete verworfen haben, also kann man auch Angriffe aktiv blockieren. Da Prelude NIDS auf der Homepage von Prelude ja als deprecated gilt, wäre jetzt ein Verbund von Snort mit barnyard und schönen reject Regeln nicht mehr so CPU fressend.

[dodolin]

Ich selbst habe auf meinem Rootserver weder IDS, Firewall, noch RSBAC oder andere Sicherheitsfeatures im Einsatz. Ich moechte nicht behaupten, dass da nichts passieren kann, aber er laeuft in diesem Zustand nun schon seit mehreren Jahren problemlos ohne einmal geknackt worden zu sein.

[captaincrunch]

Da Prelude NIDS auf der Homepage von Prelude ja als deprecated gilt, wäre jetzt ein Verbund von Snort mit barnyard und schönen reject Regeln nicht mehr so CPU fressend.

Dass Prelude "deprectaed" ist, stimmt seit ca. einem Monat nicht mehr. Die Entwicklung geht seit ein paar Wochen wieder richtig voran.

[bjunix]

ersteinmal danke für die antworten.

habe das projekt IDS erstmal vertagt. vieleicht komme ich später drauf zurück aber ich denke auch das andere sicherheitsmaßen erstmal vorrang haben.

mod_security habe ich bereits im einsatz. allerdings habe ich zugegebenermaßen keine ahnung wie ich mod_rewrite zu sicherheitszwecken einsetze?! Ungültige URL anfragen umleiten? werd mich mal mit google schlau machen.

@lord_pinhead:

das osCommerce nicht mehr weiter geführt wird stimmt so nicht.
der letze offizielle release ist zwar schon einige monate her, aber die entwicklung ist keineswegs eingestellt.
obwohl ich es auch schade finde das es kein public cvs tree gibt.
bezüglich globals register bin ich auch nicht zufrieden, allerdings gibt es einen hack um dies zu umgehen. Ich denke ich bleibe erstmal bei osCommerce.