Snort или Suricata. Част 3: защитаваме офисната мрежа

В предишната статия Разказахме как да инсталирате стабилна версия на Suricata в Ubuntu 18.04 LTS. Настройването на IDS на един узел и свързването с безплатни комплекти правила е доста лесно. Днес ще разгледаме как да защитим корпоративната мрежа от най-разпространените видове атаки с помощта на Suricata, инсталирана на виртуален сървър. За тази цел ще ни е необходим VDS с Linux и две изчислителни ядра. Обемът на оперативната памет зависи от натоварването: на някой може да му е достатъчно и 2 ГБ, а за по-сериозни задачи може да са необходими 4 или дори 6. Плюсът на виртуалната машина е възможността за експерименти: можете да започнете с минимална конфигурация и да увеличавате ресурсите при необходимост.

снимка: Reuters

• Snort или Suricata. Част 1: избираме безплатна IDS/IPS за защита на корпоративната мрежа
• Snort или Suricata. Част 2: инсталиране и първоначална конфигурация на Suricata

Обединяване на мрежи

Изнасянето на IDS на виртуална машина първо може да е необходимо за тестове. Ако никога не сте работили с подобни решения, не е нужно да бързате да поръчвате физическо оборудване и да променяте архитектурата на мрежата. По-добре е да тествате системата безопасно и без излишни разходи, за да определите нуждите от изчислителни ресурси. Важно е да разберете, че целият корпоративен трафик ще трябва да мине през единствен външен узел: за свързването на локалната мрежа (или няколко мрежи) с VDS, на който е инсталирана IDS Suricata, можете да използвате SoftEther — лесен за настройка кроссплатформен VPN сървър, осигуряващ надеждно криптиране. Офисната свързаност с интернет може да няма реален IP, така че е по-добре да я настроите на VPS. В хранилището на Ubuntu няма готови пакети, софтуерът трябва да се изтегли либо от сайта на проекта, либо от външното хранилище на услугата Launchpad (ако му вярвате):

sudo add-apt-repository ppa:paskal-07/softethervpn
sudo apt-get update

Списъкът на наличните пакети може да бъде видян с помощта на следната команда:

apt-cache search softether

Нуждаем се от softether-vpnserver (серверът в тестова конфигурация е инсталиран на VDS), както и от softether-vpncmd — команден инструмент за неговата настройка.

sudo apt-get install softether-vpnserver softether-vpncmd

За настройката на сървъра се използва специален команден инструмент:

sudo vpncmd

Няма да навлизаме в детайли относно настройката: процедурата е сравнително проста и е добре описана в множество публикации, а не е пряко свързана с темата на статията. В кратце, след стартиране на vpncmd, трябва да изберете опция 1, за да влезете в конзолата за управление на сървъра. За това е необходимо да въведете името localhost и да натиснете enter вместо да въведете името на хъба. В конзолата се задава администраторската парола с командата serverpasswordset, изтрива се виртуалният хъб DEFAULT (команда hubdelete) и се създава нов с името Suricata_VPN, а също така се задава и неговата парола (команда hubcreate). След това трябва да се премине в управляващата конзола на новия хъб с команда hub Suricata_VPN, за да се създаде група и потребител с команди groupcreate и usercreate. Потребителската парола се задава с userpasswordset.

SoftEther поддържа два режима на предаване на трафика: SecureNAT и Local Bridge. Първият представлява собствена технология за изграждане на виртуална частна мрежа с собствен NAT и DHCP. SecureNAT не изисква TUN/TAP или настройка на Netfilter или друг защитен софтуер. Рутингът не засяга ядрото на системата, а всички процеси са виртуализирани и работят на всякакви VPS/VDS, независимо от използвания хипервизор. Това води до увеличена натовареност на процесора и намаляване на скоростта в сравнение с режима Local Bridge, който свързва виртуалния хъб SoftEther с физическия мрежов адаптер или TAP устройство.

Настройката в този случай се усложнява, тъй като рутингът се извършва на ядрено ниво чрез Netfilter. Нашите VDS са изградени на Hyper-V, затова на последната стъпка създаваме локален мост и активираме TAP устройството с командата bridgecreate Suricate_VPN -device:suricate_vpn -tap:yes. След излизане от конзолата за управление на хъба, в системата ще видим нов мрежов интерфейс, на който все още не е присвоен IP:

ifconfig

След това ще трябва да активираме рутинг на пакетите между интерфейсите (ip forward), ако той не е активиран:

sudo nano /etc/sysctl.conf

Разкоментирайте следния ред:

net.ipv4.ip_forward = 1

Запазваме промените в файла, излизаме от редактора и ги прилагаме с помощта на следната команда:

sudo sysctl -p

След това трябва да определим за виртуалната мрежа подсет с фиктивни IP (например, 10.0.10.0/24) и да присвоим адрес на интерфейса:

sudo ifconfig tap_suricata_vp 10.0.10.1/24

След това ще е необходимо да зададете правила Netfilter.

1. При необходимост разрешете входящите пакети на прослушваните портове (фирменият протокол SoftEther използва HTTPS и порт 443)

sudo iptables -A INPUT -p tcp -m tcp --dport 443 -j ACCEPT
sudo iptables -A INPUT -p tcp -m tcp --dport 992 -j ACCEPT
sudo iptables -A INPUT -p tcp -m tcp --dport 1194 -j ACCEPT
sudo iptables -A INPUT -p udp -m udp --dport 1194 -j ACCEPT
sudo iptables -A INPUT -p tcp -m tcp --dport 5555 -j ACCEPT

2. Настройваме NAT от подсет 10.0.10.0/24 към основния IP адрес на сървера

sudo iptables -t nat -A POSTROUTING -s 10.0.10.0/24 -j SNAT --to-source 45.132.17.140

3. Позволяваме преминаващи пакети от подсет 10.0.10.0/24

sudo iptables -A FORWARD -s 10.0.10.0/24 -j ACCEPT

4. Позволяваме преминаващи пакети за вече установени съединения

sudo iptables -A FORWARD -p all -m state --state ESTABLISHED,RELATED -j ACCEPT

Автоматизацията на процеса при рестартиране на системата с помощта на инициализационни скриптове оставяме на читателите като домашно задание.

Ако искате да давате IP адреси на клиентите автоматично, ще трябва да инсталирате и някакъв DHCP сървис за локалния мост. С това настройката на сървера е завършена и можем да преминем към клиентите. SoftEther поддържа множество протоколи, чиято употреба зависи от възможностите на оборудването в локалната мрежа.

netstat -ap | grep vpnserver

Тъй като нашият тестови рутер също работи под Ubuntu, ще инсталираме на него от външно хранилище пакетите softether-vpnclient и softether-vpncmd, за да използваме фирмения протокол. Нужно е да стартираме клиета:

sudo vpnclient start

За настройка използваме утилита vpncmd, избирайки localhost като машината, на която е стартиран vpnclient. Всички команди се изпълняват в конзолата: необходимо е да създадем виртуален интерфейс (NicCreate) и акаунт (AccountCreate).

В някои случаи е необходимо да зададете метода на автентикация с команди AccountAnonymousSet, AccountPasswordSet, AccountCertSet и AccountSecureCertSet. Тъй като не използваме DHCP, адресът за виртуалния адаптер се задава ръчно.

Освен това ни е нужно да включим ip forward (параметър net.ipv4.ip_forward=1 в файла /etc/sysctl.conf) и да настроим статични маршрути. При необходимост на VDS с Suricata може да се настрои пробив на портове за използване на инсталираните в локалната мрежа услуги. С това обединението на мрежите може да се счита за завършено.

Предложената от нас конфигурация ще изглежда приблизително така:

Настройваме Suricata

В предишната статия Разказахме за двата режима на работа на IDS: през чаката NFQUEUE (NFQ режим) и чрез zero copy (AF_PACKET режим). Последният изисква наличието на два интерфейса, но предлага по-висока производителност — именно него ще използваме. Параметърът е зададен по подразбиране в /etc/default/suricata. Също така, ще трябва да редактираме раздела vars в /etc/suricata/suricata.yaml, като посочим виртуалната подсетка като домашна.

За рестартиране на IDS използваме командата:

systemctl restart suricata

Решението е готово, сега може да се наложи да проверите неговата устойчивост на действията на злонамерени лица.

Моделиране на атаки

Сценариите за бойно използване на външния IDS сервис могат да бъдат няколко:

Защита срещу DDoS атаки (главна цел)

Реализирането на такъв вариант в корпоративната мрежа е сложно, тъй като пакетите за анализ трябва да преминат през интерфейса на системата, гледащ в интернет. Дори ако IDS ги блокира, паразитният трафик може да пренасити канала за предаване на данни. За да се избегне това, е нужно да се поръча VPS с достатъчно производително интернет свързване, способно да премине целия трафик на локалната мрежа и целия външен трафик. Често е по-лесно и по-евтино, отколкото да се разширява офисният канал. Като алтернатива, си струва да се споменат специализирани услуги за защита от DDoS. Цената на техните услуги е сравнима с цената на виртуален сървър, като в същото време не е необходима трудоемка настройка, но има и недостатъци — за парите си клиентът получава само защита от DDoS, докато собствената IDS може да бъде конфигурирана по всякакъв начин.

Защита от външни атаки от други типове

Suricata може да се справи с опити за експлоатация на различни уязвимости в достъпните от интернет услуги на корпоративната мрежа (пощенски сървър, уеб сървър и уеб приложения и др.). Обикновено IDS се инсталират вътре в локалната мрежа след граничните устройства, но изнасянето навън също има своето място.

Защита от вътрешни злонамерени лица

Въпреки усилията на системния администратор, компютрите в корпоративната мрежа могат да бъдат заразени с злонамерен софтуер. Освен това, понякога в локалната мрежа се появяват шегаджии, които опитват да извършват неправомерни действия. Suricata може да помогне за блокиране на такива опити, макар че за защита на вътрешната мрежа е по-добре да бъде инсталирана вътре в периметъра и да се използва в комбинация с управляем комутатор, способен да извършва зеркало на трафика на един порт. Външна IDS също не е безполезна — поне ще може да улавя опити на злонамерени програми, живеещи в локалната мрежа, да се свържат с външен сървър.

Първо, ще създадем още един тестови атакуващ VPS, а на рутера на локалната мрежа ще инсталираме Apache с конфигурация по подразбиране, след което ще пренасочим 80-ти порт към сървъра на IDS. След това ще имитираме DDoS атака от атакуващия възел. За целта ще изтеглим от GitHub, ще компилираме и ще стартираме на атакуващия възел малка програма xerxes (може да е необходимо инсталиране на пакета gcc):

git clone https://github.com/Soldie/xerxes-DDos-zanyarjamal-C.git
cd xerxes-DDos-zanyarjamal-C/
gcc xerxes.c -o xerxes
./xerxes 45.132.17.140 80

Резултатът от работата й беше следният:

Suricata блокира злодея, а страницата на Apache по подразбиране се отваря, въпреки нашата импровизирана атака и доста слаб канал на "офисната" (всъщност домашна) мрежа. За по-сериозни задачи е добре да използвате Metasploit Framework. Той е предназначен за провеждане на тестове за проникване и позволява имитирането на различни атаки. Инструкцията за инсталиране е налична може да бъде намерена на сайта на проекта. След инсталирането ще е необходимо обновление:

sudo msfupdate

За тестване стартирайте msfconsole.

За съжаление, в последните версии на фреймуърка липсва възможността за автоматично хакване, затова експлоатите ще трябва да се преглеждат ръчно и да се стартират с командата use. Първо е добре да определите отворените портове на атакуваната машина, например, с помощта на nmap (в нашия случай netstat на атакувания възел върши работа), а след това да подберете и използвате подходящите модули на Metasploit. 

Съществуват и други средства за проверка на устойчивостта на IDS на атаки, включително онлайн услуги. За любопитство можете да извършите стрес тест с помощта на пробна версия на IP Stresser. За да проверите реакцията на действията на вътрешните злоумышленници, е необходимо да инсталирате специални инструменти на една от машините в локалната мрежа. Има много опции и периодично трябва да ги прилагате не само към експерименталния полигон, но и към работните системи, само че това е съвсем друга история.

Източник: habr.com