Snort или Suricata. Част 1: Избор на безплатен IDS/IPS за защита на корпоративната мрежа

Преди време, за защита на локалната мрежа, беше достатъчен обикновен защитен филтър и антивирусни програми, но в борба с атаките на съвременните хакери и с разпространението на малуер, този набор вече не е достатъчно ефективен. Старият добър firewall анализира само заглавките на пакетите, пропускайки или блокирайки ги в съответствие с набор от формални правила. Той не знае нищо за съдържанието на пакетите и затова не може да разпознае на пръв поглед легитимни действия от страна на престъпниците. Антивирусните програми не винаги улавят злонамерения софтуер, поради което пред администраторите стои задачата да проследяват аномалната активност и в своевременен момент да изолират заразените хостове.

Съществуват много напреднали средства, които могат да защитят ИТ инфраструктурата на компанията. Днес ще говорим за системи за откриване и предотвратяване на прониквания с отворен код, които можете да внедрите без покупка на скъпо оборудване и лицензи за софтуер.

Класификация на IDS/IPS

IDS (Intrusion Detection System) е система, предназначена за регистриране на подозрителни действия в мрежата или на отделен компютър. Тя води дневници на събитията и уведомява отговорния за информационната безопасност служител за тях. В състава на IDS могат да се откроят следните елементи:

• сензори за наблюдение на мрежовия трафик, различни дневници и т.н. 
• подсистема за анализ, която открива в получените данни признаци на злонамерено въздействие;
• хранилище за съхранение на първоначални събития и резултати от анализа;
• конзола за управление.

Първоначално IDS бяха класифицирани по мястото на разположението им: те можеха да бъдат насочени към защита на отделни възли (host-based или Host Intrusion Detection System — HIDS) или да защитават цялата корпоративна мрежа (network-based или Network Intrusion Detection System — NIDS). Струва си да споменем т.н. APIDS (Application protocol-based IDS): те проследяват ограничен набор от приложения за откриване на специфични атаки и не се заемат с дълбок анализ на мрежовите пакети. Такива продукти обикновено наподобяват прокси и се използват за защита на конкретни услуги: уеб сървъри и уеб приложения (например написани на PHP), бази данни и т.н. Типичен представител на този клас е mod_security за уеб сървър Apache.

Нас повече ни интересуват универсалните NIDS, които поддържат широк спектър от комуникационни протоколи и технологии за дълбочинно анализиране на пакети (DPI - Deep Packet Inspection). Те наблюдават целия преминаващ трафик, започвайки от канеловия слой, и откриват широк спектър от мрежови атаки, както и опити за неразрешен достъп до информация. Често такива системи се отличават с разпределена архитектура и могат да взаимодействат с различно активно мрежово оборудване. Забелязваме, че много съвременни NIDS са хибридни и комбинират различни подходи. В зависимост от конфигурацията и настройките, те могат да решават различни задачи - например, защита на един хост или на цялата мрежа. Освен това, функциите на IDS за работни станции поеха антивирусните пакети, които, заради разпространението на троянци, насочени към кражба на информация, се превърнаха в многофункционални брандмауери, решаващи включително задачи по разпознаване и блокиране на подозрителен трафик.

Първоначално IDS можеха само да откриват действия на зловреден софтуер, работа на сканери на портове или, както и да е, нарушения на корпоративните политики за безопасност от страна на потребителите. При възникване на определено събитие, те уведомяваха администратора, но доста бързо стана ясно, че просто разпознаването на атаката не е достатъчно - тя трябва да бъде блокирана. Така IDS се трансформираха в IPS (Intrusion Prevention Systems) - системи за предотвратяване на вторжения, способни да взаимодействат с мрежови екрани.

Методи за откритие

Съвременните решения за откритие и предотвратяване на вторжения използват различни методи за определяне на зловредна активност, които могат да бъдат разделени на три категории. Това ни дава още един вариант за класификация на системите:

• Сигнатурните IDS/IPS откриват в трафика определени шаблони или следят промените в състоянието на системите, за да определят мрежова атака или опит за инфекция. Те практически нямат пропуски и фалшиви сработвания, но не могат да открият неизвестни заплахи.
• Системите за откриване на аномалии (IDS) не използват сигнатури на атаки. Те разпознават поведение, различно от нормалното за информационните системи (включително аномалии в мрежовия трафик) и могат да идентифицират дори неизвестни атаки. Тези системи дават значителен брой фалшиви срабатывания и при неправилно използване могат да парализират работата на локалната мрежа;
• Системите IDS, основани на правила, работят по принципа: if ФАКТ then ДЕЙСТВИЕ. По същество това са експертни системи с бази от знания — съвкупност от факти и правила за логически извод. Тези решения изискват значителни усилия за настройка и от администратора се очаква дълбоко разбиране на работата на мрежата. 

История на развитието на IDS

Епохата на бурно развитие на Интернет и корпоративните мрежи започна през 90-те години на миналия век, но специалистите се заеха с напреднали технологии за мрежова безопасност малко по-рано. През 1986 година Дороти Денинг и Питър Нейман публикуваха модела IDES (Intrusion detection expert system), който стана основа на повечето съвременни системи за откриване на прониквания. Той използваше експертна система за определяне на известни видове атаки, както и статистически методи и профили на потребители/системи. IDES се изпълняваше на работни станции Sun, проверявайки мрежовия трафик и данните на приложенията. През 1993 година излезе NIDES (Next-generation Intrusion Detection Expert System) — експертна система за откриване на прониквания от ново поколение.

Въз основа на работите на Денинг и Нейман, през 1988 година се появи експертната система MIDAS (Multics intrusion detection and alerting system), използваща P-BEST и LISP. Тогава бе създадена и основана на статистически методи система Haystack. Още един статистически детектор на аномалии W&S (Wisdom & Sense) е разработен година по-късно в Националната лаборатория Лос Аламос. Развитието на индустрията вървеше с бързи темпове. Например, през 1990 година в системата TIM (Time-based inductive machine) вече беше реализирано откритие на аномалии с използването на индуктивно обучение на последователни модели на потребителя (език Common LISP). NSM (Network Security Monitor) за откритие на аномалии сравняваше матриците за достъп, а ISOA (Information Security Officer’s Assistant) поддържаше различни стратегии за откритие: статистически методи, проверка на профил и експертна система. Системата ComputerWatch, създадена в AT&T Bell Labs, използваше както статистически методи, така и правила за проверка, а първият прототип на разпределена IDS, разработен от Университета на Калифорния, бе DIDS (Distributed intrusion detection system), който също така беше и експертна система.

Първоначално IDS бяха проприетарни, но вече през 1998 година Националната лаборатория на Лоурънс в Бъркли пусна Bro (през 2018 година тя беше преименувана на Zeek) — система с отворен код, която използваше собствен език за правила за анализ на данни libpcap. През ноември на същата година се появи пакетният снифер APE, използващ libpcap, който месец по-късно бе преименуван на Snort, а по-късно стана напълно функционална IDS/IPS. Тогава започнаха да се появяват и многобройни проприетарни решения.

Snort и Suricata

В много компании предпочитат безплатни IDS/IPS с отворен код. Дълго време стандартно решение бе вече споменатата Snort, но сега я измести системата Suricata. Нека разгледаме техните предимства и недостатъци по-подробно. Snort комбинира предимствата на методите за откритие на сигнатури с възможността за откритие на аномалии в реално време. Suricata също така позволява използването на други методи, освен разпознаването на атаки по сигнатури. Системата бе създадена от група разработчици, отделила се от проекта Snort и поддържа функции на IPS, започвайки от версия 1.4, а възможността за предотвратяване на прониквания в Snort се появи по-късно.

Основната разлика между двата популярни продукта е, че Suricata предлага възможност за използване на GPU за изчисления в режим IDS и по-усъвършенстван IPS. Системата е проектирана от самото начало за многопоточност, докато Snort е еднопоточен продукт. Поради своята дълга история и наследен код, той не оптимално използва многоядрените / многопроцесорни хардуерни платформи, докато Suricata на обикновени компютри позволява обработка на трафик до 10 Гбит/сек. Може да се дискутира дълго за сходствата и различията между двете системи, но въпреки че Suricata работи по-бързо, това не е от съществено значение за не твърде широки канали.

Варианти на разгръщане

IPS трябва да бъде разположен по такъв начин, че системата да може да наблюдава контролираните от нея сегменти на мрежата. Най-често това е отделен компютър, един от интерфейсите на който е свързан след гранични устройства и 'гледа' през тях към незащитени обществени мрежи (Интернет). Другият интерфейс на IPS се свързва на входа на защитавания сегмент, за да преминава целият трафик през системата и да бъде анализиран. В по-сложни случаи могат да бъдат разположени няколко защитавани сегмента: например, в корпоративни мрежи често се определя демилитаризирана зона (DMZ) с услуги, достъпни от Интернет.

Тази IPS може да предотвратява опити за сканиране на портове или хакване чрез опит за познаване на пароли, експлоатация на уязвимости в пощенски сървъри, уебсървъри или в скриптове, а също така и други видове външни атаки. В случай че компютрите в локалната мрежа бъдат заразени с malware, IDS няма да им позволи да свързват с външни botnet сървъри. За по-сериозна защита на вътрешната мрежа вероятно ще е необходима сложна конфигурация с разпределена система и скъпи управляеми комутатори, способни да зеркалират трафика за свързания с един от портовете интерфейс на IDS.

Често корпоративните мрежи са изложени на разпределени атаки, насочени към отказ в услугата (DDoS). Въпреки че съвременните IDS успяват да се справят с тях, горепосоченият вариант на внедряване едва ли ще помогне тук. Системата разпознава злонамерена активност и блокира паразитния трафик, но за целта пакетите трябва да преминат през външно интернет свързване и да достигнат до нейния мрежов интерфейс. В зависимост от интензивността на атаката, канала за предаване на данни може да не се справи с натоварването и целите на злоумышлениците ще бъдат постигнати. За такива случаи препоръчваме внедряване на IDS на виртуален сървър с предварително по-продуктивна интернет връзка. Можете да свържете VPS към локалната мрежа чрез VPN, след което ще е необходима настройка на маршрутизиране на целия външен трафик през него. Тогава, в случай на DDoS-атака, няма да е необходимо да се прокарват пакети през свързване с доставчика, те ще бъдат блокирани на външния възел.

Проблемът с избора

Идентифицирането на лидер сред безплатните системи е много трудно. Изборът на IDS/IPS се определя от топологията на мрежата, необходимите функции за защита, а също и от личните предпочитания на администратора и желанието му да се занимава с настройки. Snort има по-дълга история и е по-добре документиран, докато информация за Suricata също не е трудно да се намери в мрежата. Във всеки случай, за да се овладее системата, ще е необходимо да се положат определени усилия, които в крайна сметка ще се изплатят - търговските хардуерни и хардуерно-програмни IDS/IPS струват достатъчно скъпо и не винаги се вписват в бюджета. Не трябва да съжалявате за похарченото време, тъй като добрият администратор винаги подобрява квалификацията си благодарение на работодателя. В тази ситуация всички остават на печалба. В следващата статия ще разгледаме някои варианти за внедряване на Suricata и в практиката ще сравним по-съвременната система с класическите IDS/IPS Snort.

Източник: habr.com