Re: Shorewall x Firestarter x Firewall Builder
On Fri, 07 Jan 2005 09:53:53 -0200, Marcos wrote:
> [...]
> Eu nao conheco muito bem o funcionamento de IDS - mas até onde eu sei,
> o D é de Detection, e eu estou falando de Protection. O meu objetivo
> era (no texto acima) de não deixar essas porcarias entrarem na sua
> rede. Claro que um IDS vai oferecer uma visão muito mais ampla e clara
> da situação, mas ele vai exigir muitos mais recursos (tando de HW qto
> de SW). Ai entra o famoso 'trade-off': a relação custo/benefício
> compensa a'ralação' na hora de configurar um IDS?
A segurança de um sistema é feita de três ingredientes: proteção,
detecção e reação. Se não houver um deles, o resultado é apenas uma
falsa sensação de segurança.
B. Schneier é conhecido por seus exemplos didáticos, e na introdução de
"Secrets and Lies" escreve:
"[some words about] prevention, detection, and reaction. Good
security encompasses all three: a vault to protect the lucre,
alarms to detect the burglars trying to open the vault, and
police that respond to the alarms and arrest the burglars.
Digital security tends to rely wholly on prevention:
cryptography, firewalls, and so forth. There's generally no
detection, and there's almost never any response or auditing.
A prevention-only strategy only works if the prevention
mechanisms are perfect; otherwise, someone will figure out
how to get around them."
> [...]
> Eu nao conheco esse 'fwlogwatch'; apesar de não ter encontrando nenhum
> modelo de relatorio na web, ele pareceu bem avaliado. No caso, uso o
> logcheck pq meu firewall tem uma deficiencia séria: CPU power.
>
> Mas uma coisa que realmente não é interessante é ter um servidor web
> num firewall. Firewall sério é pra ser firewall e pronto.
De acordo.
Mas a idéia é rodar o fwlogwatch em uma máquina de monitoração ou em um
servidor, que recebe cópias dos eventos do "firewall" via "syslog".
Isso, a propósito, coloca mais um nível de segurança no sistema: traços
de uma eventual invasão serão mais difíceis de serem apagados.
[]s,
--
André Carezia
Eng. de Telecomunicações
Carezia Consultoria - www.carezia.eng.br
Reply to: