Snort или Suricata. Част 1: избираме безплатна IDS/IPS за защита на корпоративната мрежа

Преди време, за да се защити локалната мрежа, беше достатъчен обикновен защитен екран и антивирусни програми, но срещу атаките на съвременните хакери и разпространената напоследък зловредна програма, този комплект вече не е достатъчно ефективен. Старият добър защитен екран анализира само заглавията на пакетите, пропускайки или блокирайки ги в съответствие с набор от формални правила. За съдържанието на пакетите той не знае нищо и следователно не може да разпознае на пръв поглед легитимни действия на злонамерени лица. Антивирусните програми не винаги засичат зловреден софтуер, поради което пред администратора възниква задачата да следи аномалната активност и своевременната изолация на заразените хостове.

Съществуват множество усъвършенствани средства, които могат да защитят ИТ инфраструктурата на компанията. Днес ще говорим за системите за откриване и предотвратяване на нашествия с отворен код, които могат да се внедрят без закупуване на скъпо оборудване и софтуерни лицензи.

Класификация на IDS/IPS

IDS (Система за откриване на нашествия) е предназначена за регистриране на подозрителни действия в мрежата или на отделен компютър. Тя води дневници на събитията и уведомява отговорника за информационната безопасност. В състава на IDS могат да се откроят следните елементи:

• сензори за наблюдение на мрежовия трафик, различни дневници и т.н. 
• подсистема за анализ, която открива признаци на зловредно въздействие в получените данни;
• хранилище за съхранение на първичните събития и резултатите от анализа;
• конзола за управление.

Първоначално IDS бяха класифицирани по местоположение: те можеха да бъдат насочени към защита на отделни възли (host-based или Host Intrusion Detection System – HIDS) или да защитават цялата корпоративна мрежа (network-based или Network Intrusion Detection System – NIDS). Струва си да се споменат т.н. APIDS (Application protocol-based IDS): те проследяват ограничен набор от протоколи на приложно ниво, за да открият специфични атаки и не извършват дълбок анализ на мрежовите пакети. Такива продукти обикновено наподобяват прокси и се използват за защита на конкретни услуги: уеб сървъри и уеб приложения (например, написани на PHP), бази данни и т.н. Типичен представител на този клас е mod_security за уеб сървъра Apache.

Нас повече интересуват универсалните NIDS, които поддържат широк набор от комуникационни протоколи и технологии за дълбочинно анализиране на пакетите DPI (Deep Packet Inspection). Те наблюдават целия преминаващ трафик, започвайки от канално ниво, и откриват широк спектър от мрежови атаки, както и опити за неупълномощен достъп до информация. Често такива системи се отличават с разпределена архитектура и могат да взаимодействат с различно активно мрежово оборудване. Трябва да се отбележи, че много съвременни NIDS са хибридни и комбинират няколко подхода. В зависимост от конфигурацията и настройките си, те могат да решават различни задачи — например, защитата на един възел или на цялата мрежа. Освен това функции на IDS за работни станции вече поемат антивирусните пакети, които, поради разпространението на троянци, насочени към кражба на информация, се превърнаха в многофункционални защитни стени, решаващи също така задачи за разпознаване и блокиране на подозрителен трафик.

Първоначално IDS можеха само да откриват действия на злонамерен софтуер, работа на скенери на портове, или, да речем, нарушения на корпоративните политики за сигурност от потребители. При настъпване на определено събитие те уведомяваха администратора, но доста бързо стана ясно, че просто да разпознаеш атака не е достатъчно — тя трябва да бъде блокирана. Така IDS се трансформираха в IPS (Intrusion Prevention Systems) — системи за предотвратяване на нахлувания, способни да взаимодействат с мрежови екрани.

Методи за откритие

Съвременните решения за откритие и предотвратяване на нахлувания използват различни методи за определяне на злонамерена активност, които могат да бъдат разделени на три категории. Това ни дава още една възможност за класифициране на системите:

• Сигнатурни IDS/IPS откриват в трафика определени шаблони или проследяват промени в състоянието на системите, за да определят мрежова атака или опит за заразяване. Те практически не дават грешки и фалшиви срабатывания, но не са способни да открият неизвестни заплахи.
• Аномалийно разпознаващи IDS не използват подписите на атаки. Те идентифицират поведение на информационните системи, което се отклонява от нормалното (включително аномалии в мрежовия трафик), и могат да определят дори неизвестни атаки. Тези системи са склонни да дават много фалшиви срабатывания и при ненадлежащо използване могат да парализират работата на локалната мрежа;
• Правилно базираните IDS работят на принципа: if ФАКТ then ДЕЙСТВИЕ. По същество това са експертни системи с бази знания — съвкупност от факти и правила за логическо извеждане. Тези решения са трудоемки за настройка и изискват от администратора задълбочено разбиране на работата на мрежата. 

История на развитието на IDS

Епохата на бурното развитие на интернет и корпоративните мрежи започна през 90-те години на миналия век, но специалистите започнаха да се занимават с напреднали технологии за мрежова сигурност малко по-рано. През 1986 година Дороти Денинг и Питър Нейман публикуваха модела IDES (Intrusion detection expert system), който стана основа на повечето съвременни системи за откриване на прониквания. Той използваше експертна система за определяне на известни видове атаки, както и статистически методи и профили на потребители/системи. IDES работеше на работни станции Sun, проверявайки мрежовия трафик и данните от приложенията. През 1993 година излезе NIDES (Next-generation Intrusion Detection Expert System) — експертна система за откриване на прониквания от ново поколение.

Въз основа на работата на Денинг и Нейман през 1988 година възникна експертната система MIDAS (Multics intrusion detection and alerting system), използваща P-BEST и LISP. По същото време бе създадена системата Haystack, основана на статистически методи. Още един статистически детектор на аномалии W&S (Wisdom & Sense) беше разработен година по-късно в Лос Аламоската национална лаборатория. Развитието на индустрията напредваше с бързи темпове. Например, през 1990 година в системата TIM (Time-based inductive machine) вече беше реализирано откритие на аномалии, използвайки индуктивно обучение на последователни потребителски модели (език Common LISP). NSM (Network Security Monitor) сравняваше матриците на достъп за откритие на аномалии, а ISOA (Information Security Officer’s Assistant) поддържаше различни стратегии за откритие: статистически методи, проверка на профили и експертна система. Създадената в AT&T Bell Labs система ComputerWatch използваше както статистически методи, така и правила за проверка, а първият прототип на разпределен IDS, разработен от Университета на Калифорния, бе DIDS (Distributed intrusion detection system), който също беше експертна система.

Първоначално IDS бяха собствени, но вече през 1998 година Националната лаборатория Лорънс в Бъркли пусна Bro (преименуван през 2018 г. на Zeek) — система с отворен код, използваща собствен език за правила за анализ на данни libpcap. През ноември същата година се появи снифър пакети APE, използващ libpcap, който месец по-късно беше преименуван на Snort, а по-късно стана пълноценен IDS/IPS. По това време започнаха да се появяват и многобройни собствени решения.

Snort и Suricata

В много компании предпочитат безплатни IDS/IPS с отворен код. Дълго време стандартното решение беше вече споменатото Snort, но сега го измести системата Suricata. Нека разгледаме техните предимства и недостатъци по-подробно. Snort комбинира предимствата на сигнатурния метод с възможността за откритие на аномалии в реално време. Suricata също позволява да се използват други методи, освен разпознаването на атаки по сигнатури. Системата беше създадена от група разработчици, отделила се от проекта Snort и поддържа функции на IPS от версия 1.4, докато в Snort възможността за предотвратяване на нападения се появи по-късно.

Основната разлика между двата популярни продукта е, че Suricata предлага възможност за използване на GPU за изчисления в режим IDS, както и по-напреднала IPS. Системата е проектирана първоначално за многопоточност, докато Snort е однопоточен продукт. Поради дългата си история и наследствения код, той не оптимално използва многопроцесорни/многоядрени хардуерни платформи, докато Suricata на обикновени компютри с общо предназначение позволява обработка на трафик до 10 Gbps. За подобията и разликите между двете системи може да се говори дълго, но въпреки че Suricata работи по-бързо, за не толкова широки канали това няма принципно значение.

Възможности за внедряване

IPS трябва да бъде разположена така, че системата да може да наблюдава контролираните от нея сегменти на мрежата. Най-често това е отделен компютър, един интерфейс на който е свързан след граничните устройства и "гледа" през тях към незащитените мрежи (Интернет). Другият интерфейс на IPS се свързва на входа на защитавания сегмент, за да преминава целият трафик през системата и да бъде анализиран. В по-сложни случаи може да има няколко защитавани сегмента: например, в корпоративните мрежи често се отделя разделена зона (DMZ) с онлайн достъпен сервиз.

Тази IPS може да предотврати опити за сканиране на портове или хакване чрез подбора на пароли, експлоатиране на уязвимости в пощенския сървър, уеб сървъра или в скриптовете, както и други видове външни атаки. В случай, че компютрите в локалната мрежа бъдат инфектирани с злонамерен софтуер, IDS не позволява да се свържат с разположените извън ботнети. За по-сериозна защита на вътрешната мрежа най-вероятно ще е необходима сложна конфигурация с разпределена система и скъпи управляеми комутатори, способни да отразяват трафика за свързания с един от портовете интерфейс IDS.

Често корпоративните мрежи са изложени на разпределени атаки, насочени към отказ в обслужването (DDoS). Въпреки че съвременните IDS могат да се справят с тях, посоченият по-горе вариант за внедряване едва ли ще помогне. Системата разпознава злонамерената активност и блокира паразитния трафик, но за целта пакетите трябва да преминат през външното интернет свързване и да достигнат до нейния мрежов интерфейс. В зависимост от интензитета на атаката, канала за предаване на данни може да не се справи с натоварването и целта на злонамеренците ще бъде постигната. В такива случаи препоръчваме внедряване на IDS на виртуален сървър с по-висока производителност на интернет свързването. VPS може да бъде свързан с локалната мрежа чрез VPN, след което ще е необходимо да се настрои маршрутизацията на целия външен трафик през него. Тогава, в случай на DDoS атака, няма да се налага да пропускате пакетите през свързването с доставчика, те ще бъдат блокирани на външния възел.

Проблемът с избора

Определянето на лидер сред безплатните системи е изключително трудно. Изборът на IDS/IPS зависи от топологията на мрежата, необходимите защитни функции, както и от личните предпочитания на администратора и неговото желание да се занимава с настройки. Snort има по-дълга история и е по-добре документиран, въпреки че информация за Suricata също е лесно достъпна онлайн. Във всеки случай за овладяване на системата ще е необходимо да се положат определени усилия, които в крайна сметка ще се отплатят — търговските хардуерни и хардуерно-програмни IDS/IPS са доста скъпи и не винаги се побират в бюджета. Няма смисъл да съжалявате за изгубеното време, защото добрият админ винаги повишава квалификацията си чрез работодателя. В тази ситуация всички остават в печалба. В следващата статия ще разгледаме някои варианти за внедряване на Suricata и на практика ще сравним по-модерната система с класическата IDS/IPS Snort.

Източник: habr.com