OSSIM, nuovo progetto open source: aiuto per studiarne le caratteristiche

[ilreds]

Salve,
sto cercando un aiuto per studiare il funzionamento di un progetto open source chiamato OSSIM (www.ossim.net) che ha l'ambizioso obbiettivo di fornire un'alternativa a sistemi commerciali di correlazione di eventi di sicurezza.

Io l'ho seguito per molto tempo e da circa sei mesi lo sto studiando per uno stage che ho ormai finito. Dato che non è presente molta documentazione, sto cercando qualcuno che abbia voglia di autarmi a comprenderne i meccanismi per scrivere un po' di documentazione.

La piattaforma è debian e sono coinvolte molte applicazioni per l'analisi di rete quali snort, ntop, nagios. Il db è mysql e il server web è apache. Quindi un impegno verrà ripagato con l'approfondimento di strumenti che portano ad una conoscenza rivendibile in ambito professionale.

Se qualcuno vuole aiutarmi o semplicemente vuole più info io sono a completa disposizione.

[bort_83]

mi sembra na bella cosa... ma purtoppo il tempo mi manca...

[ilreds]

Mi dispiace che no nci sia nessuno che possa darmi una mano...

[Lorenzo1]

Non capisco , che aiuto ti serve ? Cos'è che non comprendi nel progetto OSSIM ?

[ilreds]

Nel progetto ossim ci sono molte lacune, prima fra tutte la documentazione.
Pensando ad un utilizzo in ambito aziendale, occorre descrvere nel dettaglio ogni componente, ogni menù dell'interfaccia web, i comportamenti disattesi ma possibili, il significato delle variabili nei file di configurazione (alcune sono chiare ma non utilizzando tutto il software su una sola macchina dobbiamo attribuire loro valori diversi).

MySQL
In che modo viene sfruttato il db? Come è possibile ottimizzare il file di configurazione per renderlo più performante in base all'utilizzo che ne fa ossim, snort, base?

LibPCAP
Occorre una guida alla ricompilazione del kernel con le patch di Luca Deri (Ntop) perché, ad esempio, io perdo circa il 95% di traffico (non riesco ad acquisirlo) con un P4 3Ghz, Gbit LAN, 2 GB di ram su una rete Gbit.

Debian
Occorre per forza utilizzare Debian? Per questo scopo non è a mio avviso molto indicata, il software è obsoleto (non tutto) se allineati a stable (certe volte anche a sid) e in alcuni casi (Snort ad esempio) l'ultima versione fa davvero la differenza.

Io con un tirocinio di sei mesi seguendo il progetto e utilizzando due sensori e un server con il db e il server web ho acquisito alcune competenze ma non sono un esperto di MySQL, di Apache, di ricompilazione, ecc. Fino ad ora percepivo qualcosa come stagista ma ora mi devo trovare lavoro e se mi assegnano altri compiti non potrò più starci dietro come prima, ecco che cercavo qualche appassionato che mi aiutasse a documentare il tutto, oppure solo in un ambito di sua competenza.
Ritengo che competenze con tutti gli strumenti che ruotano attorno ad OSSIM (nagios per esempio, ma anche ntop e mysq e apache) siano sfrutytabili in molte aziende informatiche.

Spero di essere stato più chiaro.