4
OPNsense: IPS - Domains statt IPs
Hallo Zusammen
Ich habe diese Woche bemerkt, dass unter gewissen Umständen ab und zu gewisse Windows Updates vom IPS in der OPNsense geblockt werden. Ich wollte nun eigentlich für die Adressen, bei denen sich Windows seine Updates holt in der IPS eine Ausnahme erstellen. Allerding stehe ich dabei vor zwei Problemen:
1.) Anscheinend kann man in den User defined rules nur IPs, bzw. Subnetze eintragen. Bin ich hier zu blöd und das stimmt nicht, oder kann man wirklich keine Domains bzw. URLs als Regeln hinzufügen?
2.) Selbst wenn ich mir die idiotische Arbeit machen würde, und jede einzelne Adresse zu ihrer IP auflösen würde, so ist es anscheinend nicht möglich mehrere IPs oder ein Alias mit mehreren IPs für eine Regel zu hinterlegen. Ich müsste also für jede IP eine eigene Regel machen?
Hoffe ich bin gerade einfach nur zu blöde...
LG ludaku
Ich habe diese Woche bemerkt, dass unter gewissen Umständen ab und zu gewisse Windows Updates vom IPS in der OPNsense geblockt werden. Ich wollte nun eigentlich für die Adressen, bei denen sich Windows seine Updates holt in der IPS eine Ausnahme erstellen. Allerding stehe ich dabei vor zwei Problemen:
1.) Anscheinend kann man in den User defined rules nur IPs, bzw. Subnetze eintragen. Bin ich hier zu blöd und das stimmt nicht, oder kann man wirklich keine Domains bzw. URLs als Regeln hinzufügen?
2.) Selbst wenn ich mir die idiotische Arbeit machen würde, und jede einzelne Adresse zu ihrer IP auflösen würde, so ist es anscheinend nicht möglich mehrere IPs oder ein Alias mit mehreren IPs für eine Regel zu hinterlegen. Ich müsste also für jede IP eine eigene Regel machen?
Hoffe ich bin gerade einfach nur zu blöde...
LG ludaku
Share on Facebook
Share on Twitter
Share on Reddit
Share on LinkedinPlease also mark the comments that contributed to the solution of the article
Content-Key: 667458
Url: https://administrator.de/contentid/667458
Printed on: April 23, 2024 at 08:04 o'clock
4 Comments
Latest comment
Moinsen!
Unter "gewissen Umständen" greifen bei einem IPS "gewisse Regeln". Das ist so erwünscht.
Da ich nur die PfSense und Snort halbwegs gut kenne muss ich raten, aber:
Auch unter Suricata sollte es irgendwie möglich sein zu erkennen welche Regel für die Blockade verantwortlich ist. Dort müsste man diese auch ausser Kraft setzen können bzw. Ausnahmen für Quelle oder Ziel definieren können.
Ich tippe auf ein komplett installiertes und aktiviertes ET-Open Ruleset. Da sind Sachen dabei, die will man meistens nicht aktivieren.
Musst du dich etwas einarbeiten. Dokumentation der Regeln ist grottig.
VG
Buc
Unter "gewissen Umständen" greifen bei einem IPS "gewisse Regeln". Das ist so erwünscht.
Da ich nur die PfSense und Snort halbwegs gut kenne muss ich raten, aber:
Auch unter Suricata sollte es irgendwie möglich sein zu erkennen welche Regel für die Blockade verantwortlich ist. Dort müsste man diese auch ausser Kraft setzen können bzw. Ausnahmen für Quelle oder Ziel definieren können.
Ich tippe auf ein komplett installiertes und aktiviertes ET-Open Ruleset. Da sind Sachen dabei, die will man meistens nicht aktivieren.
Musst du dich etwas einarbeiten. Dokumentation der Regeln ist grottig.
VG
Buc
Zitat von @the-buccaneer:
Unter "gewissen Umständen" greifen bei einem IPS "gewisse Regeln". Das ist so erwünscht.
Das ist mir klar, sonst hätte ich auch kein IPS eingerichtet Unter "gewissen Umständen" greifen bei einem IPS "gewisse Regeln". Das ist so erwünscht.
Wollte damit nur sagen, dass dies sehr schwer reproduzierbar ist.Auch unter Suricata sollte es irgendwie möglich sein zu erkennen welche Regel für die Blockade verantwortlich ist.
Jein, z.B. ein Filtern nach Ports ist nicht möglich. Und ich müsste rein theoretisch jede URL, bei der Windows Updates zieht manuell zu einer IP auflösen und nach dieser IP in den Alerts suchen. Daher dachte ich auch daran gleich für die MS-Server eine Ausnahme zu erstellen.Dort müsste man diese auch ausser Kraft setzen können bzw. Ausnahmen für Quelle oder Ziel definieren können.
Ja genau das wollte ich machen mir den sogenannten "User defined rules". Aber daran scheitere ich ja, siehe Punkt 1) und Punkt 2) im Startpost.Ich tippe auf ein komplett installiertes und aktiviertes ET-Open Ruleset. Da sind Sachen dabei, die will man meistens nicht aktivieren.
Nein, es sind nicht alle Rulesets von ET-Open aktiviert, nur einige. Aber das ist auch nicht das Thema, sondern die Ausnahmen 
... Dokumentation der Regeln ist grottig.
Das habe ich hingegen schon lange gemerkt :D
Ich nehme dass mal so, das aus "ab Werk" also nicht möglich ist eigene Regelwerke bzw. eigene Regeln mit URLs bzw. Domains hinzuzufügen, korrekt?
Dann schaue ich mir mal den Link an und werde es so versuchen wenn es anders nicht geht.
Dann schaue ich mir mal den Link an und werde es so versuchen wenn es anders nicht geht.
