[7.460][FEATURE][ANSWERED] Observation:IPS too sensitive.

We changed a lot of snort-things in our beta version,
the snort engine and the preprocessor are new and we support new rules + so_rules,
the beta version has over 2500 rules more than the actual stable version enabled by default, so some FP are possible.
We study the UBB and are searching for these FP, check and fix them.
Beginning of July there will be a new corrected ips pattern up2date.
(ips pattern rpm version 7.135)
Thanks for your help!

SvenW
ASTARO  AG

I've a new false positive:

When I play Windows Media video streams, I get the following Quicktime (!) IPS alert - nevertheless the stream is played:

An intrusion has been detected. The packet has been dropped automatically.
You can toggle this rule between "drop" and "alert only" in WebAdmin.

Details about the intrusion alert:

Message........: EXPLOIT Apple Quicktime TCP RTSP sdp type buffer overflow attempt
Details........: http://www.snort.org/pub-bin/sigs.cgi?sid=12741
Time...........: 2009:06:24-00:33:57
Packet dropped.: yes
Priority.......: 1 (high)
Classification.: Attempted User Privilege Gain
IP protocol....: 6 (TCP)

Stream can be found here: PHOENIX - Videostreams

Regards,
Bastian

I've been getting a lot of alerts for sid 5318... I finally tracked down a cached copy of the snort page for that sid...
Snort - the de facto standard for intrusion detection/prevention

and it says
False Positives  This rule will generate false positives since it is very generic in nature. For this reason the normal state of this rule is disabled.

So, why has Astaro enabled it and set it to drop??

Thanks,
Barry

I think it goes back to what monarch posted in the second post of this thread here. If there was ever a public exploit available for what is being blocked, they are going to block it. That way if some bonehead tries to test the IPS sensitivity against known exploits, it will work almost 100% of the time.

It sure sucks for the rest of us trying to disable each rule one at a time or turning off IPS completely.

Just to comment as well on the sensitivity of the IPS. I am having my utorrent working at the moment and I am getting 100 lines of traffic and it keeps going!!!!(attached)

I think it goes back to what monarch posted in the second post of this thread here. If there was ever a public exploit available for what is being blocked, they are going to block it. That way if some bonehead tries to test the IPS sensitivity against known exploits, it will work almost 100% of the time.

It sure sucks for the rest of us trying to disable each rule one at a time or turning off IPS completely.

Then there needs to be a 'paranoid' or 'reviewer' category in the ips rules that can be EASILY disabled.

Barry

Just to comment as well on the sensitivity of the IPS. I am having my utorrent working at the moment and I am getting 100 lines of traffic and it keeps going!!!!(attached)

Do you have P2P blocking on?

Barry

Do you have P2P blocking on?

Barry

I have blocked them all except bitorrent.I can download/upload fine.It's just that some of the IDS logs are strange to me

i.e :

2009:07:02-23:53:42 stuffman snort[4320]: id="2101" severity="warn" sys="SecureNet" sub="ips" name="Intrusion protection alert" action="alert" reason="TCP Timestamp is outside of PAWS window" group="0" srcip="89.236.10.195" dstip="172.16.1.2" proto="6" srcport="44880" dstport="54355" sid="0" class="" priority="3" generator="129" msgid="1" 

54355=utorrent port
172.16.1.2=utorrent client

I think that utorrent uses portscan (most of the logs) but I am currently trying to find out why

Then there needs to be a 'paranoid' or 'reviewer' category in the ips rules that can be EASILY disabled.
Barry

I still think they haven't thought through the whole decision of making IDS extra sensitive. Astaro is not a dedicated IDS its a utm appliance with IPS complementing the firewall. 

What I hate the most is that once implemented, we will have to make feature requests to get it back to some kind of functional mode which could take forever.

Thanks, guys.  I gave you credit for: Add Import/Export to 'Manual rule modification' in IPS

Cheers - Bob

just voted [:)]

If this should be put to the roadmap please vote for the request of bob.

We support a ips rule package of 9000 rules to all our customers worldwide. In some areas or installation some rules are ok and some are not working. But to tune all ips rules in detailled you need such a function which is discribed in the feature. 

Greetings 
Andreas

If this should be put to the roadmap please vote for the request of bob.

We support a ips rule package of 9000 rules to all our customers worldwide. In some areas or installation some rules are ok and some are not working. But to tune all ips rules in detailled you need such a function which is discribed in the feature. 

Greetings 
Andreas