Synology intrusion prevention - verunsicherung mit den ergebnissen

[holzbank]

hallo leute, wie im betreff schon formuliert bin ich einigermaßen verunsichert von den ausgewiesenen ereignissen und alarmen des intrusion prevention pakets:-( kennt sich da jemand aus?

hab das paket vor ein paar tagen mal testweise auf meinem rt2600 installiert, läuft - zwar mit erhöhter prozessorlast und ram - soweit auch unauffällig, nur mit den ergebnissen kann ich wenig bis nichts anfangen. mal schlägt ein "iTunes User Agent" am ipad an, mal lässt sich ein beitrag aus der orf-mediathek am android-tablet nicht abspielen ("A Network Trojan was Detected"), am windows-rechner und am ipad abe schon, dann wird wieder ein dll-download am windows10-rechner verzeichnet (aber nicht verhindert), etc etc.

meiner meinung nach ist alles, was bisher angezeigt wird, falscher alarm - aber vielleicht täusche ich mich auch, bin da kein profi. zudem wird ja vieles, was angezeicht wird, laut regelset auch tatsächlich nur "angezeigt", sprich nicht verworfen (im "präventionsmodus"). also so ganz sicher scheinen sich die signaturen aus "ET Open" selber gar nicht zu sein;-)

für wen ist das dann also gedacht? für reine netzwerk-profis mit zeit für recherche? also für mich als heimanwender mit 0 erfahrung auf dem gebiet zumindest wohl nicht, oder doch?

*verwirrt und um jeden erfahrungsaustausch dankbar*

+++ karl

 

[Pootch]

Finde dich damit ab, dass hier haufenweise False-Positiv Meldungen kommen. Ein ordentliches IDS kostet für gewöhnlich auch tausende Euros und braucht massiv an Leistung.
Am besten du deaktivierst die unnützen Scanner/Regeln einfach.

 

[_Axel_]

Ich finde jetzt schon, das hier die Ergebnisse ordentlich Aufschluss geben. Muss halt dann an das eigene Neuwerk angepasst werden. Daher wird vieles auch Warnung angezeigt, weil es u.a. so gewollt sein kann.

Kriege bei mir auch einige Meldungen des IPS die sind alle korrekt, jedoch viele für mein Netzwerk so gewollt. Andere haben mir Aufschluss gegeben, w noch was zu tun ist.

Alles im allen sehr interessant. Man muss aber auch manuell dazu tun und anpassen, oder sich keine Meldungen senden lassen. Dann wird nur das verworfen was wirklich BAD ist.

 

[Perry2000]

Alle Mail Meldungen bis auf "hohes Risiko" kannst Du als Laie sowieso ausblenden.
Wenn dann ein Paket verworfen wird, welches aber berechtigt ist, ist etwas Handarbeit gefragt.
Ansonsten passt das schon ganz gut seit dem letzten Update.