В сети заработал проект открытого сообщества информационной безопасности WASP-Guard (http://wasp-guard.ru). Основными направлениями деятельности группы является создание масштабируемой распределенной системы обнаружения вторжений, которой сможет пользоваться любой системный администратор для защиты хоста, либо группы хостов своей сети. На основании сбора данных с сенсоров, размещённых участниками сообщества, строится несколько постоянно обновляемых видов чёрных списков, которые можно использовать для защиты web-серверов, почтовых серверов, конфигурирования межсетевых экранов, защиты от DDos-атак. Код всех компонентов, выполняемых на клиентской стороне является открытым и основан на использовании стандартных открытых проектов, таких как mod_security, fail2ban, ssenforce, cssenblacklist, mod_evansive.
На данный момент система включает в себя:- Cенсорную подсистему, предназначенную для сбора событий, связанных с безопасностью защищаемой системы подсистему анализа, предназначенную для выявления атак и подозрительных действий на основе данных сенсоров - Хранилище, обеспечивающее накопление первичных событий и результатов анализа консоль управления, позволяющая конфигурировать СОВ, наблюдать за состоянием защищаемой системы и СОВ, просматривать выявленные подсистемой анализа инциденты.- Cистема распространения чёрных списков, включающих уже заблокированные системой адреса.
Также запущен сервис RBL, который постоянно обновляется и дополняется на основании сигнатур угроз почтовым системам в реальном времени. Любой участник сообщества может выступать как только сенсором или только защищённой системой, так и полноправным участником.URL: http://wasp-guard.ru
Новость: http://www.opennet.me/opennews/art.shtml?num=34615
> WASP-Guard свободный проект с открытым кодом клиентской частиПочему только клиентской?
Тут давеча любители canonical и ubuntu one доказывали, что открыть код только клиенсткой части - значит уже оказать огромную услугу сообществу, за которую оно должно быть безмерно благодарно до гроба.
mod_evansive? в первый раз слышу
> Консоль управления, позволяющая конфигурировать СОВСовы не те, кем кажутся.
Открытое сообщество при закрытой серверной части??? Ну да сообщество открыто для тех у кого серверная часть...
Сколько рассуждений ))) Если кому то нужна серверная часть - пишите им, они легко ей делятся, все на базе mysql + apache + php + c, коммерческого в проекте точно ничего нет, да и клиентская часть делает всю работу, а серверная только накапливает в себе записи.
Как написали на сайте "как-то всё сумбурно", но думаю кому нибудь это пригодится.
Вся сумбурность довольно проста: Любым ПО получаете информацию о проникновении, да хоть даже через grep в /var/log/auth.log и пересылаете эту информацию через cssenforce на сервер, если хотите блокируете у себя. Дальше, если количество таких сообщений по конкретному адресу перевалило допустимое значение, то он блокируется на определённый срок (два месяца с момента последнего обнаружения). К себе заблокированные адреса перетаскиваете через cssblacklist и добавляете например в файрвол.Вроде как все просто и понятно. Основная трудность настройка этих самых сенсоров. Но тут не только на сайте написано, но и интернет кишмя кишит разными полезными статьями, вот например на хабре: http://habrahabr.ru/company/myasterisk/blog/130325/