[HaBo]

friday0D

Hallo zusammen,

hat jemand schon mal einen sniffer/ids-sensor im Einsatz gehabt, der aufgrund der Dantenrate die an seiner Nase vorbeisaust, nicht alle Pakete mitbekommt ?
Ich konnte diese Situation bisher nicht nachstellen, jedoch interessiert mich, um vorbereitet zu sein, was passiert wenn der sniffer z.B. tcp Verbindungen stateful inspiziert. Als Beispiel z.B. snort. Wenn Pakete verloren gehen, könnten dem Sniffer Störungen, möglicherweise maliziöse, bekannt werden die dann als false positives weitergetragen werden; oder Verfügen stabile Lösungen wie z.B. snort über Mittel, solchen Situationen tolerant entgegenzutreten ?

Chromatin

Man kann IDS Systeme mit sowas schnell in die Knie zwingen. Manipulierte Pakete (dazu noch schlecht konfigurierte FWs) oder einfach riesige Mengen an Paketen.

Das positive daran ist: Man merkt, dass etwas im Busche ist.

__________________
Wenn ein Gesetz nicht gerecht ist, dann geht die Gerechtigkeit vor dem Gesetz!

friday0D

Naja ok, also gibt's keine Konzepte, die tolerant darauf reagieren ? (zumindest auf die Datenflut)
Gibt's denn Erfahrungswerte, ab wann es Volumen-Probleme bei sniffern gibt ? (Verhältnis Sensor-Leistung -> Datenrate) ?

Chromatin

Letztendlich kommts auf die Umgebung an und auf die Maschine. Und dann wiederum auf deine NICs, RAM und Betriebssystem und natuerlich auf das, was ueber die Leitungen geht. es gibt solche Faustregeln, wie zB: "nicht mehr als 10% Auslastung der Maschine bei Normalbetrieb". Das mag in wirklichen grossen Umgebungen ein (wirtschaftliches) Argument sein. Ansonsten, einfach angehen und gucken. Es gibt einige gut Buecher wie:



http://www.amazon.de/gp/offer-listin...&condition=all
Oder
http://www.amazon.de/Internet-Worm-D...4126227&sr=8-1
Im zweiten beschreibt er sehr detailliert den Aufbau eines NIDS. Da das beides Dissertationen sind, sind die sehr technisch und definitiv nichts fuer nen "groben" Uberblick.

Leider ziemlich teuer.

__________________
Wenn ein Gesetz nicht gerecht ist, dann geht die Gerechtigkeit vor dem Gesetz!

friday0D

...danke!

Ich denke ich werde den rauhen Weg gehen und mal ordentlich Datenmüll produzieren, distributed!