Kostenloses IDS/IPS auf höchstem Niveau

Anbieter zum Thema

Vogel IT-Medien GmbH

Fsas Technologies GmbH

SEPPmail - Deutschland GmbH

Brandaktuelle Erkennungsregeln nur für zahlende Kunden

Danach wird der Traffic an das Kernstück von Snort weitergereicht, die Erkennungs-Engine. Hier werden die Daten mit den bekannten Angriffssignaturen verglichen. Die Signaturen ihrerseits stammen aus den Rulesets. Die Rulesets gibt es in verschiedenen Varianten:

• kostenlose, inoffizielle Sammlungen von der Community
• statische Rulesets, die zeitgleich mit größeren Snort-Releases erscheinen, aber ohne Update bleiben (jedenfalls bis zum nächsten großen Release)
• Registered User Release: dafür muss man sich registrieren, die Updates hinken dem Subscription Release 30 Tage hinterher
• Subscription Release: stets die neuesten Updates, sobald sie erscheinen, dafür aber gebührenpflichtig.

Sollte die Erkennung zu Treffern führen, kommt es zum letzten Schritt: die Output-Plugins von Snort erstellen Warnungen und Protokolleinträge. Die Protokolle können in Datenbanken wie MySQL, Oracle oder ODBC gespeichert werden. Dabei lassen sich die vollständigen verdächtigen Pakete archivieren. Dies ist sehr praktisch für die spätere Analyse, hat aber andererseits den Nachteil, dass es dadurch schnell zu Kapazitätsengpässen kommt. Wenn etwa ein umfassender Portscan läuft und all die Pakete über eine langsame Netzwerkverbindung in eine Datenbank geschrieben werden sollen, kann dies das ganze System ausbremsen.

Frontends für Snort

Snort selbst lässt sich unter www.snort.org herunterladen. Dort finden sich auch Informationen, wie man an die Rulesets Registered User Release und Subscription Release gelangt. Snort kommt ohne grafische Benutzerschnittstelle. Entsprechende Frontends gibt es aber von einer Reihe von Anbietern. Eine Übersicht findet sich auf der Snort.org-Webseite.

Wer sich unter Windows XP selbst an eine Installation machen will, dem sei das Frontend IDScenter von engage security empfohlen. Die Freeware ist relativ übersichtlich und hilft bei der Konfiguration, ohne dass sie diese dem Administrator ganz abnehmen könnte. Allerdings bietet die umfassende Anleitung von IDScenter eine enorme Hilfestellung, da sie nicht nur die Konfiguration des Frontends erklärt, sondern auch die Installation von Snort selbst.

Fazit

Da Snort kostenlos verfügbar ist, spricht nichts dagegen, das Software-Paket selbst einmal auszuprobieren. Allerdings ist die initiale Konfiguration nicht ganz einfach, d.h. dafür muss man sich etwas Zeit lassen. Auch ist die Sicherheit keineswegs gewährleistet, solange nicht das kostenpflichtige Ruleset-Abo abgeschlossen wird und wirklich die Regeln für die aktuellsten Bedrohungen vorliegen.

Gleichwohl stellt Snort einen relativ schmerzfreien Einstieg in die Thematik IDS dar. Firmennetzwerke, die zu groß sind für Snort auf Standard-Hardware, werden ohnehin eigene Appliances verwenden. Kleine Netzwerke können mit der GPL-Software ihre Sicherheit in jedem Fall erhöhen.

(ID:2012448)