"A mon signal, déchaîne l'enfer" (Gladiator)

Vous êtes attaqué! Mais que faire?

- La première pensée va aux IPS et Prelude peut en devenir un (moyennant de scripting shell).

Il vous "suffira" de configurer, selon les alertes, le script que vous voulez lancer.

Prelude fournit des variables (port src, port dst, ip src, ip dst, mac ....) que vous pourrez placer dans vos scripts.

- La seconde pensée va aux manipulations vicieuses d'un hacker malicieux!

En effet, j'ai deux exemples pour vous:

o DOS:

Un hacker s'invite chez vous, il veut faire un DOS sur le site : 'http://laissemoi.jairienfait.com'.

Il va envoyer une attaque sur votre Prelude transformer en IPS pour cette attaque là.

Dans l'attaque du hacker, il va changer l'adresse IP source par celle du site 'http://laissemoi.jairienfait.com'.

Votre IPS va détecter l'attaque et exécuter le script.

Vous êtes donc entrain de riposter sur le serveur de 'http://laissemoi.jairienfait.com'.

Et vous êtes devenu attaquant, acte illégal, donc avec possibilités de pousuites judiciaires...

o Le serpent se mort la queue et s'échauffe jusqu'à fondre

Beau titre (l'inspiration ne se controle pas) !!!

Vous avez deux réseaux, deux manager et plusieurs sondes.

Le hacker (encore ce vilain {quote prof sécurité UNIX} méchant du mal ) va envoyer une attaque sur l'IPS A en provenance de l'IPS B....

Imaginez ce qu'il va ce passer.....

L'IPS B ripose sur l'IPS A, qui riposte sur l'IPS B qui riposte sur l'IPS A ........ etc........ vive le multi DOS !

Firewall

Pour revenir sur le droit chemin, la riposte en scripting shell s'avère très utilise sur un environnement libre.

En effet, si l'on détecte une attaque, nous pouvons modifier le firewall en conséquence (bloquer le port, l'ip  ....).

Il existe également des quotas selon les protocoles utilisés, des intervalles de temps à respecter... autant de moyens pouvant vous protéger.

Faut il encore avoir le choix. L'avez-vous?