Melhor IDS: Snort x ossec hids x outros

[dnc]

Pessoal, tudo bem?

Na opinião de vocês qual é a melhor ferramenta IDS e por quê?
Ando estudando IDS e gostaria de implementar um na prática.

O Snort apesar de open-source possui regras que são pagas, isso procede? Só com as regras básicas já resolve a maior parte de ataques (com excessão dos 0-day e sql injection)?

Grato pela atenção,
[s] Danilo Nascimento

[aortolane]

Melhores ferramenta IDS / IPS na minha opiniao ate porque ja fiz cursos sobre elas são: Checkpoint e o Proventia da ISS.

http://www.checkpoint.com/products/ips-1/

http://www.iss.net/products/Proventi...main_page.html

cara quando se trata de segurança nao adianta economizar muito.

[aortolane]

Bom tenho bastante familiaridade com o checkpoint e os IDS/IPS da ISS, são soluções pagas porem a base de dados de ataques conhecidos vale a pena!, da uma olhada no site do fabricante, no mundo GNU/GPL realmente a solução é snort!

[nelson]

Na opinião de vocês qual é a melhor ferramenta IDS e por quê?
Ando estudando IDS e gostaria de implementar um na prática.

Qual o melhor vinho? O melhor carro? O melhor firewall?
São respostas sempre relativas, depende de vários fatores, dentre eles: Vivência, conhecimento tecnico, custo/beneficio e, principalmente, pra qual cenário? Onde ele vai ser usado?
Dado que não existem mágicas atualmente, a maior parte dos IDS do mercado usa um misto de assinaturas e identificações de anomalias. Neste caso o "melhor" é o que você sabe usar/configurar/ajustar.

O Snort apesar de open-source possui regras que são pagas, isso procede? Só com as regras básicas já resolve a maior parte de ataques (com excessão dos 0-day e sql injection)?

Com rarissimas excessões, contra 0-day não há muito o que possa ser feito, a menos que ele reproduza uma assinatura ou anomalia já conhecida pelo IDS.
E sim, as assinaturas mais recentes do snort são pagas:
Usuários registrados 30 dias de defasagem e outros podem atualizar a cada release. Mas nada impede do administrador (a não ser tempo e competência - não necessariamente nesta ordem) criar e manter as suas.
Por outro lado o snort não é a única possibilidade em se tratando de NIDS ( O OSSec é HIDS), o Prelude, por exemplo pode ser uma boa alternativa.