gelöst: IPS verhindert Update von Linux Clients

[Pablo78]

Hallo zusammen,

ich habe seit gestern IPS bei mir zu Hause aktiviert und festgestellt, das meine Linux VM`s keine Kopzeilen/Update-Pakete mehr herunterladen können.
Ist es eigentlich sinnvoll IPS im Heimnetz auf alle Schnittstellen zu aktivieren? Habe aktuell neben Rot auch Grün (hier steht meine Proxy VM) Blau (WLAN) und Orange (Nextcloud) aktiviert.
Die VM in der DMZ ist von Extern erreichbar da dort Nextcloud drauf läuft.

In den IPS-Logs sehe ich keine Meldungen die auf Blockaden hindeuten aber sobald ich das Netz von der Überprüfung herausnehme oder den Host ausschließe funktioniert das Update.

Hier ein paar Bilder dazu:

Warten auf Kopzeilen.PNG (1.69 KiB) Viewed 960 times

[FischerM]

Hi,

deaktiviere mal die 'emerging-policy.rules'.

Da gibt es ein paar Regeln, die immer wieder mal für Probleme sorgen.

Ein Verdächtiger: "ET POLICY GNU/Linux APT User-Agent Outbound likely related to package management"

Oder die IDS-Logs mal genau durchforsten. Entsprechende Einträge sollten vorhanden sein.

HTH,
Matthias

[Pablo78]

Genau das war es gewesen - Vielen Dank

[5p9]

Hey,

< Ist es eigentlich sinnvoll IPS im Heimnetz auf alle Schnittstellen zu aktivieren? <
generell reicht es auf RED und Orange in deinem Fall. Blue und green würde ich nur aktiv schalten, wenn du mal nach dem rechten sehen möchtest.

Deine Regeln sind, finde ich etwas zu viel, den scada Anwendungsfall wirst du in deinem Netzwerk nicht verwenden. Auch NetBios oder Icmp (was nicht böse ist) kannst du wieder heraus nehmen. FTP, na ja kommt darauf an ob du diese Regeln auch wirklich haben willst damit keiner aus deinem Netzwerk unbemerkt via FTP etwas ab- bzw. beziehen kann.

Meine Rules auch für Cloud sind in der Regel diese, davon werden die meisten nie gemeldet, aber habs sie dennoch aktiv:

Code: Select all

emerging-attack_response.rules
emerging-ciarmy.rules
emerging-compromised.rules
emerging-current_events.rules
emerging-dshield.rules
emerging-exploit.rules
emerging-malware.rules
emerging-misc.rules
emerging-mobile_malware.rules (macht eigentlich nur im WLAN Sinn)
emerging-rbn.rules
emerging-scan.rules
emerging-sql.rules
emerging-trojan.rules
emerging-web_server.rules
emerging-worm.rules

Der Rest ist natürlich eine Sache deiner Anwendungsumgebung und was du ggf. geblockt haben möchtest. Ist wirklich Ermessenssache die du abwegen musst.

VG, 5p9

[Pablo78]

@5p9: Vielen Dank für den Tipp und ich werde mal dies näher betrachten