Сетевая топология Snort / Suricata - это приемлемо? - PullRequest
Новая
       129

Сетевая топология Snort / Suricata - это приемлемо?

0 голосов
/ 13 января 2020

Я управляю сетью малого бизнеса с соединением Inte rnet в 500 Мбит / с и хочу внедрить NIPS (систему предотвращения вторжений в сеть). Я определил SNORT или SURICATA как программное обеспечение выбора (и, возможно, Zeek, о котором я знаю меньше). Возможно с PFSense et c. TBD.

Wi-Fi широко используется в бизнесе, как и стандартные Windows ПК с кабелем локальной сети. В настоящее время наш базовый c маршрутизатор / модем обрабатывает все.

ТЕКУЩАЯ топология сети: 

INTERNET ==> Existing ADSL-like Router/Modem (with DHCP + wifi) ==> Office network infrastructure etc

Я хочу вставить поле basi c Linux с 2 или четырьмя ядрами + 4 ГБ оперативной памяти и сетевой картой Basi c 1 Гбит / с для этого блока SNORT / SURICATA, перед маршрутизатором Inte rnet.

Я хочу подтвердить следующее: Хорошие средства для go о внедрении NIPS:

Желаемая топология сети: 

INTERNET ==> Existing ADSL-like Router/Modem (disable wifi) ==> SNORT/SURICATA Linux Box ==> Spare Standard ADSL-like Router/Modem with DHCP + Wifi enabled ==> Office network infrastructure etc.

Вопрос: Позволит ли эта настройка поле SNORT / SURICATA (с настройками по умолчанию / ничего особенного не включено):

  1. Отслеживание IP-адреса источника локальной сети трафика WAN c, как исходящего, так и входящего. Т.е. торрент-соединение между «IP-адресом локального компьютера и удаленным IP-адресом», а не «IP-адресом маршрутизатора и удаленным IP-адресом»
  2. Возможность входа в окно SNORT / SURICATA (без су bnet сумасшествие - по крайней мере, не сложно решить проблемы)
  3. Есть какие-нибудь ошибки здесь?

Обратите внимание, что это для малого бизнеса с 20 сотрудниками, а не 300 et c. Соответствие всем лучшим практикам нецелесообразно при таком размере.

Я не заинтересован в добавлении сетевой карты WIFI к указанной коробке Linux. Причина в том, что в кризисной ситуации я хочу иметь возможность отключить устройство snort и соединить два маршрутизатора вместе и немедленно предоставить Inte rnet в офис на случай, если по какой-либо причине устройство выйдет из строя (плохие правила snort, жесткий диск умирает et c). Кроме того, маршрутизаторы / модемы нуждаются в щелчках, чтобы установить соединение - мне не нужно загружать Putty, с которым было бы очень трудно иметь дело, если меня нет в наличии.

Спасибо за помощь !

1 Ответ

0 голосов
/ 07 февраля 2020

Настройка, которую вы пытаетесь выполнить sh, может быть легко выполнена путем установки коробки pfSense (2-4 ядра и 4 ГБ ОЗУ). Вы можете выбрать аппаратную спецификацию c из приведенной ниже ссылки:

https://docs.netgate.com/pfsense/en/latest/book/hardware/index.html

Сконфигурируйте suricata для работы в режиме встроенного IPS, и вам будет хорошо go. Вы можете в любое время обратиться за помощью при настройке suricata.

...