Snort বা Suricata. পার্ট 1: আপনার কর্পোরেট নেটওয়ার্ক সুরক্ষিত করার জন্য একটি বিনামূল্যের IDS/IPS নির্বাচন করা

এক সময়ে, একটি সাধারণ ফায়ারওয়াল এবং অ্যান্টি-ভাইরাস প্রোগ্রামগুলি একটি স্থানীয় নেটওয়ার্ককে সুরক্ষিত করার জন্য যথেষ্ট ছিল, কিন্তু আধুনিক হ্যাকারদের আক্রমণ এবং সম্প্রতি প্রসারিত হওয়া ম্যালওয়্যারের বিরুদ্ধে এই জাতীয় সেট আর যথেষ্ট কার্যকর নয়। একটি ভাল পুরানো ফায়ারওয়াল শুধুমাত্র প্যাকেট শিরোনাম বিশ্লেষণ করে, আনুষ্ঠানিক নিয়মের একটি সেট অনুসারে তাদের অনুমতি দেয় বা ব্লক করে। এটি প্যাকেটের বিষয়বস্তু সম্পর্কে কিছুই জানে না এবং তাই আক্রমণকারীদের আপাতদৃষ্টিতে বৈধ ক্রিয়াগুলি চিনতে পারে না৷ অ্যান্টিভাইরাস প্রোগ্রামগুলি সর্বদা ম্যালওয়্যার ধরতে পারে না, তাই প্রশাসক অস্বাভাবিক কার্যকলাপ নিরীক্ষণ এবং সংক্রামিত হোস্টকে সময়মত বিচ্ছিন্ন করার কাজটির মুখোমুখি হন।

একটি কোম্পানির আইটি অবকাঠামো রক্ষা করার জন্য অনেক উন্নত সরঞ্জাম উপলব্ধ রয়েছে। আজ আমরা ওপেন সোর্স অনুপ্রবেশ সনাক্তকরণ এবং প্রতিরোধ ব্যবস্থা সম্পর্কে কথা বলব, যা ব্যয়বহুল সরঞ্জাম এবং সফ্টওয়্যার লাইসেন্স ক্রয় ছাড়াই প্রয়োগ করা যেতে পারে।

আইডিএস/আইপিএস শ্রেণীবিভাগ

আইডিএস (অনুপ্রবেশ সনাক্তকরণ সিস্টেম) একটি নেটওয়ার্ক বা একটি পৃথক কম্পিউটারে সন্দেহজনক কার্যকলাপ নিবন্ধন করার জন্য ডিজাইন করা একটি সিস্টেম। এটি ইভেন্ট লগ রাখে এবং তাদের সম্পর্কে তথ্য নিরাপত্তার জন্য দায়ী কর্মচারীকে অবহিত করে। নিম্নলিখিত উপাদানগুলি আইডিএসের অংশ হিসাবে আলাদা করা যেতে পারে:

• নেটওয়ার্ক ট্রাফিক, বিভিন্ন লগ, ইত্যাদি দেখার জন্য সেন্সর। 
• একটি বিশ্লেষণ সাবসিস্টেম যা প্রাপ্ত ডেটাতে দূষিত প্রভাবের লক্ষণ সনাক্ত করে;
• প্রাথমিক ঘটনা এবং বিশ্লেষণ ফলাফল সংগ্রহের জন্য সঞ্চয়;
• ব্যবস্থাপনা কনসোল।

প্রাথমিকভাবে, আইডিএসগুলি অবস্থান অনুসারে শ্রেণীবদ্ধ করা হয়েছিল: তারা পৃথক নোডগুলি (হোস্ট-ভিত্তিক বা হোস্ট ইনট্রুশন ডিটেকশন সিস্টেম - HIDS) বা সমগ্র কর্পোরেট নেটওয়ার্ক (নেটওয়ার্ক-ভিত্তিক বা নেটওয়ার্ক অনুপ্রবেশ সনাক্তকরণ সিস্টেম - NIDS) রক্ষা করার দিকে মনোনিবেশ করা যেতে পারে। এটা তথাকথিত উল্লেখ মূল্য APIDS (অ্যাপ্লিকেশন প্রোটোকল-ভিত্তিক IDS): তারা নির্দিষ্ট আক্রমণ সনাক্ত করতে অ্যাপ্লিকেশন-স্তরের প্রোটোকলের একটি সীমিত সেট নিরীক্ষণ করে এবং নেটওয়ার্ক প্যাকেটগুলির গভীর বিশ্লেষণ করে না। এই জাতীয় পণ্যগুলি সাধারণত প্রক্সিগুলির সাথে সাদৃশ্যপূর্ণ এবং নির্দিষ্ট পরিষেবাগুলিকে সুরক্ষিত করতে ব্যবহৃত হয়: একটি ওয়েব সার্ভার এবং ওয়েব অ্যাপ্লিকেশন (উদাহরণস্বরূপ, পিএইচপিতে লেখা), একটি ডাটাবেস সার্ভার ইত্যাদি। এই শ্রেণীর একটি সাধারণ উদাহরণ হল Apache ওয়েব সার্ভারের জন্য mod_security।

আমরা সার্বজনীন এনআইডিএস-এ আরও আগ্রহী যেটি বিস্তৃত যোগাযোগ প্রোটোকল এবং ডিপিআই (ডিপ প্যাকেট পরিদর্শন) প্রযুক্তি সমর্থন করে। তারা ডেটা লিঙ্ক স্তর থেকে শুরু করে সমস্ত পাসিং ট্র্যাফিক নিরীক্ষণ করে এবং বিস্তৃত নেটওয়ার্ক আক্রমণের পাশাপাশি তথ্যে অননুমোদিত অ্যাক্সেসের প্রচেষ্টা সনাক্ত করে। প্রায়শই এই ধরনের সিস্টেমগুলির একটি বিতরণ করা আর্কিটেকচার থাকে এবং বিভিন্ন সক্রিয় নেটওয়ার্ক সরঞ্জামগুলির সাথে যোগাযোগ করতে পারে। উল্লেখ্য যে অনেক আধুনিক NIDS হাইব্রিড এবং বিভিন্ন পন্থাকে একত্রিত করে। কনফিগারেশন এবং সেটিংসের উপর নির্ভর করে, তারা বিভিন্ন সমস্যার সমাধান করতে পারে - উদাহরণস্বরূপ, একটি নোড বা পুরো নেটওয়ার্ক রক্ষা করা। এছাড়াও, ওয়ার্কস্টেশনের জন্য আইডিএস-এর কাজগুলি অ্যান্টি-ভাইরাস প্যাকেজগুলি দ্বারা নেওয়া হয়েছিল, যা তথ্য চুরির লক্ষ্যে ট্রোজানগুলির বিস্তারের কারণে, বহুমুখী ফায়ারওয়ালে পরিণত হয়েছিল যা সন্দেহজনক ট্র্যাফিক সনাক্তকরণ এবং ব্লক করার সমস্যাগুলিও সমাধান করে।

প্রাথমিকভাবে, IDS শুধুমাত্র ম্যালওয়্যার কার্যকলাপ, পোর্ট স্ক্যানার, বা, বলুন, কর্পোরেট নিরাপত্তা নীতির ব্যবহারকারী লঙ্ঘন সনাক্ত করতে পারে। যখন একটি নির্দিষ্ট ঘটনা ঘটেছিল, তারা প্রশাসককে অবহিত করেছিল, কিন্তু এটি দ্রুত স্পষ্ট হয়ে যায় যে আক্রমণটিকে কেবল স্বীকৃতি দেওয়াই যথেষ্ট নয় - এটি ব্লক করা দরকার। তাই আইডিএসকে আইপিএস (অনুপ্রবেশ প্রতিরোধ সিস্টেম)-এ রূপান্তরিত করা হয়েছিল - ফায়ারওয়ালের সাথে ইন্টারঅ্যাক্ট করতে সক্ষম অনুপ্রবেশ প্রতিরোধ ব্যবস্থা।

সনাক্তকরণ পদ্ধতি

আধুনিক অনুপ্রবেশ সনাক্তকরণ এবং প্রতিরোধ সমাধানগুলি দূষিত কার্যকলাপ সনাক্ত করতে বিভিন্ন পদ্ধতি ব্যবহার করে, যেগুলিকে তিনটি বিভাগে বিভক্ত করা যেতে পারে। এটি আমাদের সিস্টেমকে শ্রেণিবদ্ধ করার জন্য আরেকটি বিকল্প দেয়:

• স্বাক্ষর-ভিত্তিক আইডিএস/আইপিএস ট্র্যাফিকের প্যাটার্ন সনাক্ত করে বা নেটওয়ার্ক আক্রমণ বা সংক্রমণের প্রচেষ্টা নির্ধারণ করতে সিস্টেমের অবস্থার পরিবর্তনগুলি পর্যবেক্ষণ করে। তারা কার্যত মিসফায়ার এবং মিথ্যা ইতিবাচক দেয় না, কিন্তু অজানা হুমকি সনাক্ত করতে সক্ষম হয় না;
• অসঙ্গতি-সনাক্তকারী IDSগুলি আক্রমণের স্বাক্ষর ব্যবহার করে না। তারা তথ্য সিস্টেমের অস্বাভাবিক আচরণ চিনতে পারে (নেটওয়ার্ক ট্র্যাফিকের অসঙ্গতি সহ) এবং এমনকি অজানা আক্রমণ সনাক্ত করতে পারে। এই ধরনের সিস্টেমগুলি প্রচুর মিথ্যা ইতিবাচক দেয় এবং, যদি ভুলভাবে ব্যবহার করা হয়, তাহলে স্থানীয় নেটওয়ার্কের ক্রিয়াকলাপকে পঙ্গু করে দেয়;
• নিয়ম-ভিত্তিক আইডিএস নীতিতে কাজ করে: যদি FACT হয় তাহলে ACTION। সারমর্মে, এগুলি হল জ্ঞানের ভিত্তি সহ বিশেষজ্ঞ সিস্টেম - তথ্যের একটি সেট এবং যৌক্তিক অনুমানের নিয়ম। এই ধরনের সমাধানগুলি সেট আপ করার জন্য শ্রম-নিবিড় এবং প্রশাসকের নেটওয়ার্ক সম্পর্কে বিস্তারিত বোঝার প্রয়োজন। 

আইডিএস বিকাশের ইতিহাস

গত শতাব্দীর 90 এর দশকে ইন্টারনেট এবং কর্পোরেট নেটওয়ার্কগুলির দ্রুত বিকাশের যুগ শুরু হয়েছিল, তবে বিশেষজ্ঞরা একটু আগে উন্নত নেটওয়ার্ক সুরক্ষা প্রযুক্তি দ্বারা বিভ্রান্ত হয়েছিলেন। 1986 সালে, ডরোথি ডেনিং এবং পিটার নিউম্যান IDES (অনুপ্রবেশ সনাক্তকরণ বিশেষজ্ঞ সিস্টেম) মডেল প্রকাশ করেন, যা বেশিরভাগ আধুনিক অনুপ্রবেশ সনাক্তকরণ সিস্টেমের ভিত্তি হয়ে ওঠে। এটি পরিচিত আক্রমণের ধরন, সেইসাথে পরিসংখ্যানগত পদ্ধতি এবং ব্যবহারকারী/সিস্টেম প্রোফাইল সনাক্ত করতে একটি বিশেষজ্ঞ সিস্টেম ব্যবহার করে। IDES সান ওয়ার্কস্টেশনে চলে, নেটওয়ার্ক ট্র্যাফিক এবং অ্যাপ্লিকেশন ডেটা পরিদর্শন করে। 1993 সালে, NIDES (Next-generation Intrusion Detection Expert System) প্রকাশিত হয় - একটি নতুন প্রজন্মের অনুপ্রবেশ সনাক্তকরণ বিশেষজ্ঞ সিস্টেম।

ডেনিং এবং নিউম্যানের কাজের উপর ভিত্তি করে, পি-বেস্ট এবং এলআইএসপি ব্যবহার করে MIDAS (মাল্টিক্স ইনট্রুশন ডিটেকশন অ্যান্ড অ্যালার্টিং সিস্টেম) বিশেষজ্ঞ সিস্টেম 1988 সালে আবির্ভূত হয়েছিল। একই সময়ে, পরিসংখ্যান পদ্ধতির উপর ভিত্তি করে খড়ের গাদা ব্যবস্থা তৈরি করা হয়েছিল। আরেকটি পরিসংখ্যানগত অসঙ্গতি সনাক্তকারী, W&S (Wisdom & Sense), এক বছর পরে লস আলামোস ন্যাশনাল ল্যাবরেটরিতে তৈরি করা হয়েছিল। শিল্প দ্রুত গতিতে বিকশিত হচ্ছিল। উদাহরণস্বরূপ, 1990 সালে, টিআইএম (টাইম-ভিত্তিক ইন্ডাকটিভ মেশিন) সিস্টেমটি ইতিমধ্যেই অনুক্রমিক ব্যবহারকারীর নিদর্শনগুলিতে (সাধারণ এলআইএসপি ভাষা) ইন্ডাকটিভ লার্নিং ব্যবহার করে অসঙ্গতি সনাক্তকরণ প্রয়োগ করেছে। এনএসএম (নেটওয়ার্ক সিকিউরিটি মনিটর) অসঙ্গতি সনাক্ত করতে অ্যাক্সেস ম্যাট্রিক্সের তুলনা করে এবং আইএসওএ (তথ্য নিরাপত্তা কর্মকর্তার সহকারী) বিভিন্ন সনাক্তকরণ কৌশল সমর্থন করে: পরিসংখ্যান পদ্ধতি, প্রোফাইল চেকিং এবং বিশেষজ্ঞ সিস্টেম। AT&T বেল ল্যাবগুলিতে তৈরি কম্পিউটারওয়াচ সিস্টেমটি যাচাইয়ের জন্য পরিসংখ্যানগত পদ্ধতি এবং নিয়মগুলি ব্যবহার করেছিল এবং ক্যালিফোর্নিয়া বিশ্ববিদ্যালয়ের বিকাশকারীরা 1991 সালে বিতরণ করা আইডিএসের প্রথম প্রোটোটাইপ পেয়েছিলেন - DIDS (ডিস্ট্রিবিউটেড ইনট্রুশন ডিটেকশন সিস্টেম)ও একটি বিশেষজ্ঞ সিস্টেম ছিল।

প্রথমে, আইডিএস মালিকানা ছিল, কিন্তু ইতিমধ্যে 1998 সালে, জাতীয় পরীক্ষাগার। লরেন্স বার্কলে ব্রো প্রকাশ করেছেন (2018 সালে জিক নামকরণ করা হয়েছে), একটি ওপেন সোর্স সিস্টেম যা libpcap ডেটা বিশ্লেষণের জন্য একটি মালিকানা নিয়মের ভাষা ব্যবহার করে। একই বছরের নভেম্বরে, libpcap ব্যবহার করে APE প্যাকেট স্নিফার আবির্ভূত হয়, যা এক মাস পরে Snort নামকরণ করা হয় এবং পরে একটি পূর্ণাঙ্গ IDS/IPS হয়। একই সময়ে, অসংখ্য মালিকানা সমাধান প্রদর্শিত হতে শুরু করে।

Snort এবং Suricata

অনেক কোম্পানি বিনামূল্যে এবং ওপেন সোর্স আইডিএস/আইপিএস পছন্দ করে। দীর্ঘ সময়ের জন্য, ইতিমধ্যে উল্লিখিত Snort মানক সমাধান হিসাবে বিবেচিত হয়েছিল, কিন্তু এখন এটি Suricata সিস্টেম দ্বারা প্রতিস্থাপিত হয়েছে। আসুন একটু বিস্তারিতভাবে তাদের সুবিধা এবং অসুবিধাগুলি দেখুন। Snort বাস্তব সময়ে অসঙ্গতি সনাক্ত করার ক্ষমতা সহ একটি স্বাক্ষর-ভিত্তিক পদ্ধতির সুবিধাগুলিকে একত্রিত করে। Suricata আপনাকে স্বাক্ষর দ্বারা আক্রমণ সনাক্ত করার পাশাপাশি অন্যান্য পদ্ধতি ব্যবহার করার অনুমতি দেয়। সিস্টেমটি স্নর্ট প্রজেক্ট থেকে বিচ্ছিন্ন একদল ডেভেলপার দ্বারা তৈরি করা হয়েছিল এবং সংস্করণ 1.4 থেকে শুরু হওয়া IPS ফাংশনগুলিকে সমর্থন করে এবং Snort পরে অনুপ্রবেশ রোধ করার ক্ষমতা চালু করেছিল।

দুটি জনপ্রিয় পণ্যের মধ্যে প্রধান পার্থক্য হল আইডিএস মোডে জিপিইউ কম্পিউটিং, সেইসাথে আরও উন্নত আইপিএস ব্যবহার করার জন্য Suricata এর ক্ষমতা। সিস্টেমটি প্রাথমিকভাবে মাল্টি-থ্রেডিংয়ের জন্য ডিজাইন করা হয়েছে, যখন স্নর্ট একটি একক-থ্রেডেড পণ্য। এর দীর্ঘ ইতিহাস এবং লিগ্যাসি কোডের কারণে, এটি মাল্টিপ্রসেসর/মাল্টিকোর হার্ডওয়্যার প্ল্যাটফর্মগুলি সর্বোত্তমভাবে ব্যবহার করে না, যেখানে সুরিকাটা নিয়মিত সাধারণ উদ্দেশ্য কম্পিউটারে 10 Gbps পর্যন্ত ট্র্যাফিক পরিচালনা করতে পারে। আমরা দুটি সিস্টেমের মধ্যে সাদৃশ্য এবং পার্থক্য সম্পর্কে দীর্ঘ সময়ের জন্য কথা বলতে পারি, তবে যদিও সুরিকাটা ইঞ্জিন দ্রুত কাজ করে, খুব বেশি প্রশস্ত চ্যানেলগুলির জন্য এটি মৌলিক গুরুত্বের নয়।

স্থাপনার বিকল্প

আইপিএস এমনভাবে স্থাপন করা উচিত যাতে সিস্টেমটি তার নিয়ন্ত্রণে থাকা নেটওয়ার্ক বিভাগগুলি নিরীক্ষণ করতে পারে। প্রায়শই, এটি একটি উত্সর্গীকৃত কম্পিউটার, যার একটি ইন্টারফেস প্রান্ত ডিভাইসগুলির পরে সংযুক্ত থাকে এবং সেগুলির মাধ্যমে অরক্ষিত পাবলিক নেটওয়ার্কগুলিতে (ইন্টারনেট) "দেখায়"। আরেকটি আইপিএস ইন্টারফেস সুরক্ষিত অংশের ইনপুটের সাথে সংযুক্ত থাকে যাতে সমস্ত ট্র্যাফিক সিস্টেমের মধ্য দিয়ে যায় এবং বিশ্লেষণ করা হয়। আরও জটিল ক্ষেত্রে, বেশ কয়েকটি সুরক্ষিত অংশ থাকতে পারে: উদাহরণস্বরূপ, কর্পোরেট নেটওয়ার্কগুলিতে একটি ডিমিলিটারাইজড জোন (DMZ) প্রায়শই ইন্টারনেট থেকে অ্যাক্সেসযোগ্য পরিষেবাগুলির সাথে বরাদ্দ করা হয়।

এই ধরনের আইপিএস পোর্ট স্ক্যানিং বা পাসওয়ার্ড ব্রুট ফোর্স অ্যাটাক, মেল সার্ভার, ওয়েব সার্ভার বা স্ক্রিপ্টে দুর্বলতার শোষণ, সেইসাথে অন্যান্য ধরনের বাহ্যিক আক্রমণ প্রতিরোধ করতে পারে। যদি স্থানীয় নেটওয়ার্কের কম্পিউটারগুলি ম্যালওয়্যার দ্বারা সংক্রামিত হয়, তাহলে IDS তাদের বাইরে অবস্থিত বটনেট সার্ভারের সাথে যোগাযোগ করতে দেবে না। অভ্যন্তরীণ নেটওয়ার্কের আরও গুরুতর সুরক্ষার জন্য, একটি ডিস্ট্রিবিউটেড সিস্টেমের সাথে একটি জটিল কনফিগারেশন এবং একটি পোর্টের সাথে সংযুক্ত IDS ইন্টারফেসের জন্য ট্রাফিক মিরর করতে সক্ষম ব্যয়বহুল পরিচালিত সুইচগুলি সম্ভবত প্রয়োজন হবে৷

কর্পোরেট নেটওয়ার্ক প্রায়ই ডিস্ট্রিবিউটেড ডিনায়েল অফ সার্ভিস (DDoS) আক্রমণের শিকার হয়। যদিও আধুনিক আইডিএস তাদের সাথে মোকাবিলা করতে পারে, উপরের স্থাপনার বিকল্পটি এখানে সাহায্য করার সম্ভাবনা কম। সিস্টেম দূষিত ক্রিয়াকলাপকে চিনবে এবং জাল ট্র্যাফিক ব্লক করবে, তবে এটি করার জন্য, প্যাকেটগুলিকে একটি বাহ্যিক ইন্টারনেট সংযোগের মধ্য দিয়ে যেতে হবে এবং এর নেটওয়ার্ক ইন্টারফেসে পৌঁছাতে হবে। আক্রমণের তীব্রতার উপর নির্ভর করে, ডেটা ট্রান্সমিশন চ্যানেল লোডের সাথে মানিয়ে নিতে সক্ষম নাও হতে পারে এবং আক্রমণকারীদের লক্ষ্য অর্জন করা হবে। এই ধরনের ক্ষেত্রে, আমরা একটি স্পষ্টতই আরও শক্তিশালী ইন্টারনেট সংযোগ সহ একটি ভার্চুয়াল সার্ভারে আইডিএস স্থাপনের সুপারিশ করি৷ আপনি ভিপিএন-এর মাধ্যমে ভিপিএস-কে স্থানীয় নেটওয়ার্কে সংযুক্ত করতে পারেন এবং তারপরে আপনাকে এটির মাধ্যমে সমস্ত বহিরাগত ট্র্যাফিকের রাউটিং কনফিগার করতে হবে। তারপর, একটি DDoS আক্রমণের ক্ষেত্রে, আপনাকে প্রদানকারীর সাথে সংযোগের মাধ্যমে প্যাকেটগুলি পাঠাতে হবে না; সেগুলি বহিরাগত নোডে ব্লক করা হবে।

পছন্দের সমস্যা

মুক্ত ব্যবস্থার মধ্যে একজন নেতাকে চিহ্নিত করা খুবই কঠিন। IDS/IPS-এর পছন্দ নেটওয়ার্ক টপোলজি, প্রয়োজনীয় নিরাপত্তা ফাংশন, সেইসাথে অ্যাডমিনিস্ট্রেটরের ব্যক্তিগত পছন্দ এবং সেটিংসের সাথে টিঙ্কার করার ইচ্ছা দ্বারা নির্ধারিত হয়। Snort এর একটি দীর্ঘ ইতিহাস রয়েছে এবং এটি আরও ভালোভাবে নথিভুক্ত করা হয়েছে, যদিও Suricata সম্পর্কিত তথ্যও অনলাইনে পাওয়া সহজ। যাই হোক না কেন, সিস্টেমটি আয়ত্ত করার জন্য আপনাকে কিছু প্রচেষ্টা করতে হবে, যা শেষ পর্যন্ত পরিশোধ করবে - বাণিজ্যিক হার্ডওয়্যার এবং হার্ডওয়্যার-সফ্টওয়্যার আইডিএস/আইপিএস বেশ ব্যয়বহুল এবং সবসময় বাজেটের সাথে খাপ খায় না। সময় নষ্ট করার জন্য আফসোস করার কোন মানে নেই, কারণ একজন ভালো অ্যাডমিন সবসময় নিয়োগকর্তার খরচে তার দক্ষতা বাড়ায়। এই পরিস্থিতিতে, সবাই জয়ী হয়। পরবর্তী নিবন্ধে আমরা কিছু Suricata স্থাপনার বিকল্প দেখব এবং অনুশীলনে ক্লাসিক IDS/IPS Snort-এর সাথে আরও আধুনিক সিস্টেমের তুলনা করব।

উত্স: www.habr.com