La doppia macchina NIC Snort può causare minacce per aggirare il firewall?

In generale, sì, i dispositivi dual homed possono - e spesso lo saranno - essere usati per creare un punto di snodo per gli attaccanti.

Eppure, la tua macchina da presa sarebbe in una posizione significativamente meno esposta come forse un server in una DMZ. D'altra parte, l'analisi è difficile e lo sniffare fa esattamente questo; Non sono sicuro di proclamare che non ci sono vulnerabilità nello snort. Tuttavia, come hai descritto, c'è una connessione fisica, quindi è molto probabile che possa infettarsi e fungere da punto di svolta nella tua rete.

Oltre a usare iptables per limitare il traffico di rete in uscita di quella macchina, potresti anche considerare l'utilizzo di un diodo di dati per garantire quel comportamento. Le configurazioni su quella macchina possono essere cambiate molto bene quando l'attaccante ottiene la root; semplice come iptables -P OUTPUT ACCEPT . Un diodo di dati potrebbe comunque contenere qualsiasi traffico in uscita.

Nella sua forma più elementare, quando una macchina Snort viene utilizzata come IDS, il requisito per una seconda scheda NIC non è presente tranne la ridondanza. Se utilizzato come IPS, viene utilizzato il motore Snort per decidere se i pacchetti devono essere eliminati, quindi in questo caso è necessario disporre di tale seconda NIC.