Тестирование систем обнаружения вторжений?

Question

[Kakao]

Какими средствами можно провести тестирование систем обнаружения вторжений (как хостовых так и сетевых), что и как можно протестировать, чтобы системы можно было сравнить между собой на основании каких-то параметров?

Answer 1

[Sergey]

Сканерами уязвимостей, например. Nessus, nmap, xspider/maxpatrol, IBM Rational appscan, Acunetics и так далее.
Я бы сделал так: организовать несколько «жертв» намеренно с уязвимостями (honeypot, например уязвимое веб-приложение, уязвимый десктоп/сервер, уязвимую СУБД и т.п.), просканировать все эти цели парочкой сканеров, сначала без IPS, чтобы снять «слепок», потом по очереди ставить айпиэски, сравнивая результат от сканеров. Какая из айпиэсок покажет лучший результат (меньше найдется уязвимостей при сканировании), та и эффективнее.
Самое сложное это организовать этот самый honeypot правильно.

Comments

[Kakao]

в данном случае за ханипот не сойдет ли допустим Windows XP без сервис паков и единого патча с установленными на него SQL Server'ом 2005 тоже без апдейтов?

[Sergey]

Только если на крайний случай. Лучше все-таки что-то чуть более контроллируемое с точки зрения перечня уязвимостей и их серьезности.

[Kakao]

не подскажете в таком случае, куда копать для создания такого ханипота?

[Sergey]

Обязательно, но сперва долечу до дома.

[Kakao]

если вас не затруднит, могли бы все же описать систему, которую вы упомянули?

[Sergey]

для веб я использовал dvwa и mutillidae

Answer 2

[Sicness]

Например вот тут вот мануал metasploit, в частности глава о выборе жертвы экспериментов.

Comments

[Kakao]

ну там они предлагают использовать голую Windows XP SP2, и в комментарии выше я уже рассматривал такой вариант. Мануал хороший, спасибо за ссылку.

Answer 3

[Alexey Lesovsky]

нужны заведомо дырявые вещи? может быть здесь найдется