IDS/IPS mit Cloud Gateway Fiber

Quote from R03sB3rt

Gestartet bin ich mit dem Plan Suricata auf einem Raspi5 zu installieren und zwischen Fritzbox und ONT zu setzen

Hinter dem Route am "Bösen Ende" am "Nackten Internet"... da kommen alle paar Sekunden Erkennungen über Portscans, zugrifsversuche auf
geschlossen Port, alte bekannte die jede Signatursammunlg zum glühen bringt. Was zu folge hat das du es schnell sein lässt oder
"inbound" ignorierst.

Ein IDS gehört klassisch hinter dem Border Router/FW zum lan hin. Ob als "Routing Instance" über den der ganze verkehr muss
oder wettverbreitet als Schnüffelstück sei mal dahin gestellt.. aber direkt am Internet willst du das nicht.

(also klar wenn du GNAT und damit garnicht direkt am Netz hängst, spätestens IPv6 ist dann aber wieder Gewitter am Anschluss.

Quote from R03sB3rt

Wie gut arbeitet das IDS/IPS ohne das kostenpflichtige CyberSecure?

So gut oder so schlecht wie ein eigner Aufsatz. Ubiquiti setzt auch auf Suricata und nutzt (oh wunder) die gleichen gratis listen
von Proofpoint (die ET Open) die auch du bei einer eignen Installation verwenden würdest und die auch jeder andere benutzt
weil die sind gratis .

Der Rest is Hoffung, Schlangenöl und falsches Verständnis.

Quote from R03sB3rt

Beste Grüße

Anbei ein paar Anmerkungen von meiner Installation mit UDM-P (Ultra/Fiber gab es damals noch nicht) für Zuhause und Beruf:

• Geschwindigkeitsmessungen mit iperf3 haben 945 mbit/s ergeben: das ist ein sehr guter und typischer Wert für eine Installation mit bis zu 1Gbit/s in Switch, AP, etc. Die Cat6 Kabel reichen daher m.E. aus. Auch dürften sie 2,5Gbit/s ausreichend unterstützen, was aber derzeit nicht getestet werden kann.
• Für einen Glasfaseranschluß mit 1Gbit/s und dabei 280Mbit/s bestellt reicht eine UCG-Ultra aus, es sei denn du hast vor weitere Apps für z.B. Access oder Protect (Cams) einzusetzen. Dann wäre es eher die UCG-Fiber, wobei ich persönlich bei vielen Cams und Access Einheiten über einen NVR für Protect nachdenken würde. In den Unifi Foren machen diese Apps nach den neuesten FW Updates bei einigen Usern Probleme, letztenendes hat die Box 3Gbyte Ram und kommt mit all den neuen Features an seine Leistungsgrenzen, daher gibt es nun wohl auch den Safe-Mode von Unifi um bei Überlast einige Funktionen zu reduzieren.
• Bei Switches würde ich schon welche mit 2,5Gbit/s und PoE nehmen, an APs schon die 7. Generation, das wird besser durch Unifi unterstützt und gepflegt.
• Ich selbst setze das kostenlose IPS/IDS von Unifi ein, ab und zu habe ich mal Meldungen dazu, aber hält sich eh in Grenzen. 90%+ des Datenverkehrs ist https verschlüsselt, da wird eh nicht reingeschaut soweit ich weiß. Wichtig ist die Firewall, die ja Traffic von aussen nach innen, der nicht von innen angestossen wurde (return) abblockt, da ist die Liste was geblockt wurde deutlich länger.
• Wichtig halte ich ein sauberes Setup deines neuen Netzwerks mit VLANs für die verschiedenen Bereiche wie IoT mit und ohne Internet Zugang, Gastnetzwerk sowie vertrautem Netzwerk (VLAN) für dich.
• Wenn du die Cloud-basierte Console verwenden willst dann unbedingt 2FA konfigurieren. Direct Remote Connection nicht auswählen, das stellt für mich ein Sicherheitsrisiko dar und du brauchst das auch nicht.
• Automatische Updates aller Unifi Devices nicht auswählen (!), da gab es oft Überraschungen. Anfangs nur offizielle SW Versionen verwenden (channel official), wenn du mehr Erfahrungen mit Unifi gesammelt hast und es auch dein Hobby ist kannst du auf release sowie early access channels umstellen, wenn du diese Zeit dafür dann investieren willst.
• Ich habe die UCG-Ultra u.a. in einem kleinen Hotel am laufen, Gäste sind sehr zufrieden.

Quote from digger-de

• Wenn du die Cloud-basierte Console verwenden willst dann unbedingt 2FA konfigurieren. Direct Remote Connection nicht auswählen, das stellt für much ein Sicherheitsrisiko dar und du brauchst das auch nicht.

Das ist kein Sicherheitsrisiko sondern ein Scheunentor ... Ist doch gefühlt erst einen Monat her, als so eine Sicherheitslücke bei entsprechend aktivem Direct Remote Access ausgenutzt wurde und plötzlich auf diversen Consolen "John Smith" Admin Accounts vorhanden waren ...

UNIFI selbst ist da bescheiden. Wird zwar gelistet aber die Recherche Funktion ist nicht so dolle. Allerdings kann man die logs auch zu passenden log-Server schicken und dort auswerten.

Zusätzlich kann man sich noch den network optimizer installieren und bekommt da eine deutlich bessere Auswertung.

Quote from R03sB3rt

dass Suricata selbst nach den genutzten Methoden (get, ...)

GET ? das ist eine Methode bei HTTP... Suricata kann HTML ist aber halt ein regelbasiertes frage wert bei dem du auch sagst das
wenn in TCP Packet das 4 und 8 byte ein X und dan zwölfmal Y kommt ist das Angriffsvektor X..
oder halt auch http.method; content:"GET"; http.uri; content:"/böseseite.html";

Wenn das IDS das dann sehen kann weils unverschlüsselt ist..

Und nun ja Ergebnisse.... wenn nichts ist dann wird nichts angezeigt vom IDS. Wenn Treffer dann gibt es im Log die
MSG die hier der regeln steht.. was einen zu google treibt und sich die reglen zu suchen um rauszufinden was da
genau für einen bedeutet...

Ich hatte erst das Ultra und nun das Fiber. 1Gigabit synchron Glasfaser und 4 Kameras. Das Fiber ist deutlich schneller!

EDIT: ich glaube du verwechselst da was. Das Fiber hat den deutlich besseren Prozessor und mehr RAM.

Quote from jkasten

Das Fiber hat den deutlich besseren Prozessor und mehr RAM.

Hat das Fiber inzwischen mehr RAM? Meines Wissens haben sowohl Ultra als auch Fiber 3GB Ram. Wäre klasse wenn die Fiber mehr hätte, bei all den neuen Features sind 3GB so langsam knapp. Ich hoffe ja auf einen Nachfolger der Fiber mit mehr RAM 😀

Quote from digger-de

Hat das Fiber inzwischen mehr RAM?

Nein, da hat er sich sicherlich vertan. Alle UCGs wie auch der aktueller UDR haben 3 GB RAM.

Die beiden kleineren UDM haben 4 GB, die Pro Max dann 8 GB und die "Beast" sogar 16 GB.

Korrekt, die haben alle gleich viel und völlig ausreichend für die Geräte. Da hatte ich mich vertan mit dem RAM. Die CPU ist aber wesentlich stärker. Das merke ich vor allem beim Durchsatz bei Gigabit synchron.

Quote from R03sB3rt

U7 Long Range

Soweit ich weiß bringt Longe Range in Deutschland aufgrund der Sendeleistungsbeschränkungen keinen Vorteil. Daher dann auch einen U7 Lite.

Die LR haben die selbe Reichweite. Die sind in Deutschland beschränkt wie digger-de schon sagt. Die U7 Lite sind völlig ok, habe noch die U6 Lite hier.

EDIT: ich habe zwei APs im Erdgeschosse bei etwa 50qm aufgeteilt auf 2 Räume und Flur. Allerdings mit Betonwänden.

Quote from R03sB3rt

Ahh, alles klar. Wäre schön, wenn das Irgendwo auf der Website gestanden hätte.

Dann werden es zwei U7 Lite. Besten Dank für die schnelle Hilfe

Das regelt jedes Land anders, deswegen steht das da nicht.