Por lo general, utilizo el port mirror en la boca que tiene el gateway de la red a analizar.
Y por supuesto ves el trafico entrante y saliente, solo tendrias que analizar si queres ver las ips internas (si usas nat) o las externas, de que lado (o boca del switch) vas a poner el ids. Saludos pd: se hizo el thread un poco largo, si es algo offtopic de la lista, quiza convenga que enviemos a nuestros emails personales, pero personalmente creo que es bueno compartir las esperiencias. On 1/24/07, Hernan Forlino <[EMAIL PROTECTED]> wrote:
Entre esas dos estaba, y justamente a la de bridge le tenia miedo por lo que comentas. Este ids va a controlar dos redes dmz, y el trafico va a ser grande. Para el mirroring en particular, lo estas haciendolo con todos los paquetes (entrantes y salientes) o solamente es necesario el trafico entrante a los servidores? Te pregunto esto porque cambia mucho en la carga del switch, y ademas porque muchos switches no soportan tener gran cantidad de mirrorings entrantes/salientes (es mi caso). Saludos Hernan.- On 1/24/07, Alejandro Gramajo <[EMAIL PROTECTED]> wrote: > Si, principalmente con mirroring de los ports del switch, tambien > probe con otras arquitecturas como un ids en modo bridge, pero es mas > peligroso, ya que si se cae ese > server te quedas sin conexiones entre las redes. > > Saludos > > On 1/24/07, Hernan Forlino <[EMAIL PROTECTED]> wrote: > > Gracias por la data Alejandro, voy a ver de buscar por ese lado. > > > > Aprovecho ya que comentaste que tenes un ids instalado: Para que > > analice el trafico, le estas haciendo un mirroring de los puertos del > > switch o como lo manejas? > > > > Saludos, > > Hernan.- > > > > > > On 1/24/07, Alejandro Gramajo <[EMAIL PROTECTED]> wrote: > > > Hola, > > > te comento mi experiencia, para grandes cantidades de trafico, dentro > > > de placas 100mb: > > > 3com (Vortex -Parallel Tasking- y Typhoon), EtherExpressPro (EEPRO), > > > Intel Pro. Las VIA, Sis y las Realtek solo las recomiendo para lab y > > > pruebas. > > > > > > Y hablando de placas gigabit, tenes buenas Intel Pro 1000, NetXtreme. > > > (y tengo un server en FreeBSD 6.1 con la Realtek 8169 pero tuvo > > > algunos problemas) > > > > > > La NetXtreme Gigabit (modulo tg3) que viene con algunos modelos de > > > server HP ML110 andan muy bien. > > > > > > (del lspci una maquina en produccion con Snort) > > > 0000:07:00.0 Ethernet controller: Broadcom Corporation NetXtreme > > > BCM5721 Gigabit Ethernet PCI Express (rev 11) > > > 0000:08:00.0 Ethernet controller: Broadcom Corporation NetXtreme > > > BCM5705_2 Gigabit Ethernet (rev 03) > > > > > > Saludos a todos > > > > > > On 1/24/07, Hernan Forlino <[EMAIL PROTECTED]> wrote: > > > > Hola a todos, > > > > Tengo que armar un snort en el laburo. Va a correr sobre Suse 10. > > > > Con este ya tuve problemas con placas de red 3Com 3c905-b. No se si > > > > seran todas pero tengo una camada que compramos donde 3 me fallan > > > > sobre linux (las probe en suse y ubuntu). > > > > Este ids va a analizar mucho trafico proveniente de 2 dmz. Que placa > > > > de buena calidad me recomiendan para esta maquina? > > > > > > > > Saludos > > > > Hernan.- > > > > -- > > > > Para desuscribirte tenés que visitar la página > > > > https://listas.linux.org.ar/mailman/listinfo/lugar-gral/ > > > > > > > > /* Publica y encontra trabajo relacionado con softlibre en http://www.usla.org.ar/modules/jobs/ */ > > > > > > > > Si tenés algún inconveniente o consulta escribí a mailto:[EMAIL PROTECTED] > > > > > > > -- > > > Para desuscribirte tenés que visitar la página > > > https://listas.linux.org.ar/mailman/listinfo/lugar-gral/ > > > > > > /* Publica y encontra trabajo relacionado con softlibre en http://www.usla.org.ar/modules/jobs/ */ > > > > > > Si tenés algún inconveniente o consulta escribí a mailto:[EMAIL PROTECTED] > > > > > -- > > Para desuscribirte tenés que visitar la página > > https://listas.linux.org.ar/mailman/listinfo/lugar-gral/ > > > > /* Publica y encontra trabajo relacionado con softlibre en http://www.usla.org.ar/modules/jobs/ */ > > > > Si tenés algún inconveniente o consulta escribí a mailto:[EMAIL PROTECTED] > > > -- > Para desuscribirte tenés que visitar la página > https://listas.linux.org.ar/mailman/listinfo/lugar-gral/ > > /* Publica y encontra trabajo relacionado con softlibre en http://www.usla.org.ar/modules/jobs/ */ > > Si tenés algún inconveniente o consulta escribí a mailto:[EMAIL PROTECTED] > -- Para desuscribirte tenés que visitar la página https://listas.linux.org.ar/mailman/listinfo/lugar-gral/ /* Publica y encontra trabajo relacionado con softlibre en http://www.usla.org.ar/modules/jobs/ */ Si tenés algún inconveniente o consulta escribí a mailto:[EMAIL PROTECTED]
-- Para desuscribirte tenés que visitar la página https://listas.linux.org.ar/mailman/listinfo/lugar-gral/ /* Publica y encontra trabajo relacionado con softlibre en http://www.usla.org.ar/modules/jobs/ */ Si tenés algún inconveniente o consulta escribí a mailto:[EMAIL PROTECTED]
