Brauche Hilfe bei einem SNORT-Konzept

#1 Hallo!

Also ich plane für mein Abschlußprojekt als Fachinformatiker, Snort zu installieren.
Ich hab mich mittlerweile ein wenig eingelesen, habe aber noch ein paar Verständnisprobleme bei dem Thema.
Mein Hauptproblem momentan ist noch folgendes:
Ich möchte Snort nicht als "normales" NIDS einsetzen und mittels eines Taps oder einer Netzwerkkarte im "Promiscious-Mode" den Datenverkehr im Netzwerk prüfen, sondern die Netzwerkkarte der Linux-Firewall, die zum Intranet führt, überwachen.
Vielleicht bin ich zu blöd, aber geht das so? Nicht hauen, wenn die Frage wirklich doof war

#2 Da gibt es meiner Meinung nach zwei Varianten:

1. Du installierst Sort mit auf dem Rechner der Firewall und lässt es im Promiscious-Mode auf dem inneren Interface lauschen

2. Du mirrorst Dir am Switch den Port des Inside Interfaces der Firewall und lässt Snort auf einem zweiten Rechner laufen und zwar auf dem Interface, welches am Mirrorport steckt

Robert
__________
powered by http://different-thinking.de - Netze, Protokolle, Sicherheit, ...