Früher genügte es, ein einfaches Firewall und Antivirus-Programme zu verwenden, um ein lokales Netzwerk zu schützen. Doch gegen die Angriffe moderner Hacker und die in letzter Zeit stark verbreitete Malware ist solch ein Setup nicht mehr ausreichend effektiv. Die bewährte Firewall analysiert nur die Kopfzeilen von Paketen und lässt diese gemäß einer formalen Regelung passieren oder blockiert sie. Über die Inhalte der Pakete hat sie keine Informationen und kann deshalb das äußerlich legitime Verhalten von Angreifern nicht erkennen. Antivirus-Programme fangen schädliche Software nicht immer ein, und daher steht der Administrator vor der Herausforderung, anormale Aktivitäten zu überwachen und infizierte Hosts rechtzeitig zu isolieren.
Es gibt eine Vielzahl fortschrittlicher Lösungen, die den Schutz der IT-Infrastruktur eines Unternehmens ermöglichen. Heute werden wir über offene Systeme zur Erkennung und Verhinderung von Eindringlingen sprechen, die ohne den Kauf teurer Hardware und Softwarelizenzen implementiert werden können.
Klassifizierung von IDS/IPS
IDS (Intrusion Detection System) – ein System, das dazu dient, verdächtige Aktivitäten im Netzwerk oder auf einzelnen Computern zu protokollieren. Es führt Ereignisprotokolle und benachrichtigt die für die Informationssicherheit verantwortliche Person.
- Sensoren zur Überwachung des Netzwerkverkehrs, verschiedener Protokolle usw.
- eine Analyse-Subsystem, das in den erhaltenen Daten Anzeichen von schädlichen Aktivitäten erkennt;
- ein Speicher zur Ansammlung von Primärereignissen und Analyseergebnissen;
- eine Verwaltungs-Konsole.
Ursprünglich wurden IDS nach ihrem Standort klassifiziert: Sie konnten entweder auf den Schutz einzelner Hosts ausgerichtet sein (hostbasiert oder Host Intrusion Detection System – HIDS) oder die gesamte Unternehmensnetzwerk schützen (netzwerkbasiert oder Network Intrusion Detection System – NIDS). Erwähnenswert sind auch die sogenannten APIDS (Application Protocol-based IDS): Diese überwachen eine begrenzte Anzahl von Anwendungsprotokollen zur Identifizierung spezifischer Angriffe und befassen sich nicht mit einer tiefgehenden Analyse von Netzwerkpaketen. Solche Produkte ähneln häufig Proxys und dienen dem Schutz spezifischer Dienste: Webserver und Webanwendungen (z. B. solche, die in PHP geschrieben sind), Datenbankserver usw. Ein typisches Beispiel dieser Kategorie ist mod_security für den Apache-Webserver.
Wir interessieren uns mehr für universelle NIDS, die eine breite Palette von Kommunikationsprotokollen und Deep Packet Inspection (DPI) Technologien unterstützen. Diese überwachen den gesamten durchlaufenden Datenverkehr ab der Datenlink-Schicht und erkennen eine Vielzahl von Netzwerkangriffen sowie Versuche, unautorisierten Zugriff auf Informationen zu erhalten. Häufig zeichnen sich solche Systeme durch eine verteilte Architektur aus und können mit verschiedenen aktiven Netzwerkausrüstungen interagieren. Es ist erwähnenswert, dass viele moderne NIDS hybrid sind und mehrere Ansätze kombinieren. Je nach Konfiguration und Einstellungen können sie verschiedene Aufgaben erfüllen – beispielsweise den Schutz eines einzelnen Knotens oder des gesamten Netzwerks. Darüber hinaus haben Antivirus-Pakete die Funktionen von IDS für Arbeitsstationen übernommen, da sie sich aufgrund der Verbreitung von Trojanern, die auf Datendiebstahl abzielen, zu multifunktionalen Firewalls entwickelt haben, die unter anderem für die Erkennung und Blockierung verdächtigen Datenverkehrs zuständig sind.
Ursprünglich konnten IDS nur schädliche Software-Aktivitäten, das Arbeiten von Ports-Scannern oder zum Beispiel Verstöße gegen Unternehmens-Sicherheitsrichtlinien erkennen. Bei bestimmten Ereignissen benachrichtigten sie den Administrator, aber schnell wurde klar, dass es nicht ausreicht, einen Angriff lediglich zu erkennen – man muss ihn auch blockieren. So entwickelten sich IDS zu IPS (Intrusion Prevention Systems) – Systeme zur Eindämmung von Eindringlingen, die mit Firewalls interagieren können.
Erkennungsmethoden
Moderne Lösungen zur Erkennung und Verhinderung von Eindringlingen verwenden verschiedene Methoden zur Identifizierung schädlicher Aktivitäten, die in drei Kategorien unterteilt werden können. Dies gibt uns eine weitere Klassifizierungsmöglichkeit für Systeme:
- Signatur-IDS/IPS erkennen im Netzwerkverkehr bestimmte Muster oder überwachen Systemzustandsänderungen, um Netzwerkangriffe oder Infektionsversuche zu identifizieren. Sie liefern nahezu keine Fehlalarme, sind jedoch nicht in der Lage, unbekannte Bedrohungen zu erkennen.
- Anomalieerkennende IDS verwenden keine Angriffssignaturen. Sie erkennen abweichendes Verhalten von Informationssystemen (einschließlich Anomalien im Netzwerkverkehr) und können sogar unbekannte Angriffe identifizieren. Solche Systeme erzeugen häufig viele Fehlalarme und können, wenn sie unsachgemäß eingesetzt werden, das lokale Netzwerk lähmen.
- Regelbasierte IDS funktionieren nach dem Prinzip: if FAKT then HANDLUNG. Im Grunde sind das Experten Systeme mit Wissensdatenbanken – einer Zusammenstellung von Fakten und logischen Schlussfolgerungen. Solche Lösungen sind aufwendig in der Einrichtung und erfordern vom Administrator ein detailliertes Verständnis der Netzwerkstruktur.
Entwicklungsgeschichte der IDS
Die Ära des rasanten Wachstums des Internets und der Unternehmensnetzwerke begann in den 90er Jahren des letzten Jahrhunderts, jedoch setzten sich Fachleute bereits etwas früher mit fortschrittlichen Sicherheitstechnologien auseinander. Im Jahr 1986 veröffentlichten Dorothy Denning und Peter Neumann das Modell IDES (Intrusion Detection Expert System), das die Grundlage für die meisten modernen Intrusion-Detection-Systeme bildete. Es nutzte ein Expertensystem, um bekannte Angriffsarten zu identifizieren, sowie statistische Methoden und Benutzer-/Systemprofile. IDES wurde auf Sun-Arbeitsstationen ausgeführt und überprüfte den Netzwerkverkehr sowie Anwendungsdaten. Im Jahr 1993 erschien NIDES (Next-Generation Intrusion Detection Expert System) – ein Expertensystem zur Erkennung von Eindringlingen der nächsten Generation.
Basierend auf den Arbeiten von Denning und Neumann entstand 1988 das Expertensystem MIDAS (Multics Intrusion Detection and Alerting System), das P-BEST und LISP verwendet. In derselben Zeit wurde das auf statistischen Methoden basierende System Haystack entwickelt. Ein weiteres statistisches Anomaliedetektionssystem, W&S (Wisdom & Sense), wurde ein Jahr später im Los Alamos National Laboratory entwickelt. Die Branche entwickelte sich rasant weiter. So wurde beispielsweise im Jahr 1990 im System TIM (Time-based Inductive Machine) bereits die Erkennung von Anomalien durch induktives Lernen auf der Basis sequenzieller Nutzerverhalten implementiert (Sprache: Common LISP). NSM (Network Security Monitor) verglich zur Anomalieerkennung Zugriffsmatrizen, während ISOA (Information Security Officer’s Assistant) verschiedene Erkennungsstrategien unterstützte: statistische Methoden, Profilverifikation und ein Expertensystem. Das in den AT&T Bell Labs entwickelte System ComputerWatch kombinierte sowohl statistische Methoden als auch Regelbasierte Ansätze zur Überprüfung, und der erste Prototyp eines verteilten IDS, DIDS (Distributed Intrusion Detection System), wurde von Entwicklern der University of California bereits 1991 erstellt und fungierte zudem als Expertensystem.
Ursprünglich waren IDS proprietär, doch bereits 1998 veröffentlichte das Lawrence Berkeley National Laboratory Bro (2018 umbenannt in Zeek) — ein Open-Source-System, das eine eigene Regelbeschreibungssprache zur Analyse von libpcap-Daten verwendet. Im November desselben Jahres erschien der libpcap-basierte Paket-Sniffer APE, der einen Monat später in Snort umbenannt wurde und später zu einem vollwertigen IDS/IPS avancierte. In dieser Zeit tauchten auch zahlreiche proprietäre Lösungen auf.
Snort und Suricata
Viele Unternehmen bevorzugen kostenlose, Open-Source IDS/IPS. Lange Zeit galt die bereits erwähnte Snort als Standardlösung, doch inzwischen hat sie dem System Suricata Platz gemacht. Lassen Sie uns ihre Vor- und Nachteile etwas näher betrachten. Snort kombiniert die Vorteile der Signaturmethode mit der Möglichkeit der Erkennung von Anomalien in Echtzeit. Suricata wiederum ermöglicht zusätzlich die Nutzung anderer Methoden neben derattackenbasierten Signaturerkennung. Das System wurde von einer Gruppe von Entwicklern ins Leben gerufen, die sich vom Snort-Projekt abspalteten, und unterstützt IPS-Funktionen seit Version 1.4, während Snort die Möglichkeit zur Eindringungsprävention erst später erhielt.
Der Hauptunterschied zwischen den beiden beliebten Produkten besteht darin, dass Suricata die Möglichkeit bietet, GPUs für die Berechnungen im IDS-Modus zu nutzen, sowie in einer fortschrittlicheren IPS. Das System ist ursprünglich auf Multithreading ausgelegt, während Snort ein Single-Thread-Produkt ist. Aufgrund seiner langen Geschichte und des geerbten Codes nutzt es mehrkernige / multiprozessorfähige Hardware-Plattformen nicht optimal, während Suricata auf herkömmlichen PCs bis zu 10 Gbit/s verarbeiten kann. Über die Ähnlichkeiten und Unterschiede der beiden Systeme kann lange debattiert werden, aber obwohl die Suricata-Engine schneller arbeitet, spielt dies bei weniger breiten Verbindungen keine wesentliche Rolle.
Bereitstellungsoptionen
IPS müssen so platziert werden, dass das System die von ihm kontrollierten Netzwerksegmente überwachen kann. Häufig handelt es sich dabei um einen dedizierten Computer, dessen eine Schnittstelle hinter den Netzwerkgrenzen angeschlossen ist und „durch“ diese in ungeschützte öffentliche Netzwerke (Internet) schaut. Die andere Schnittstelle des IPS wird an den Eingang des geschützten Segments angeschlossen, sodass der gesamte Datenverkehr durch das System geleitet und analysiert wird. In komplexeren Fällen können mehrere geschützte Segmente vorhanden sein: In Unternehmensnetzwerken wird häufig eine demilitarisierte Zone (DMZ) eingerichtet, die mit aus dem Internet zugänglichen Diensten ausgestattet ist.
Eine solche IPS kann Port-Scans oder Brute-Force-Angriffe verhindern sowie die Ausnutzung von Schwachstellen im Mailserver, Webserver oder in Skripten und andere Arten externer Angriffe abwehren. Sollte ein Computer im lokalen Netzwerk mit Malware infiziert werden, wird das IDS verhindern, dass er mit externen Botnet-Servern kommuniziert. Für einen umfassenderen Schutz des internen Netzwerks ist wahrscheinlich eine komplexe Konfiguration mit einem verteilten System und kostspieligen, verwalteten Switches erforderlich, die in der Lage sind, den Datenverkehr für das mit einem der Ports des IDS verbundenen Interface zu spiegeln.
Häufig werden Unternehmensnetzwerke Ziel von verteilten Denial-of-Service-Angriffen (DDoS). Obwohl moderne IDS in der Lage sind, damit umzugehen, wird die oben genannte Bereitstellungsoption hier kaum helfen. Das System erkennt schädliche Aktivitäten und blockiert den parasitären Datenverkehr, aber damit dies funktioniert, müssen die Datenpakete über die externe Internetverbindung laufen und auf die Netzwerkschnittstelle gelangen. Je nach Intensität des Angriffs könnte die Übertragungsleitung überlastet sein, und das Ziel der Angreifer wäre erreicht. Für solche Fälle empfehlen wir, ein IDS auf einem virtuellen Server mit einer deutlich leistungsfähigeren Internetverbindung zu implementieren. Der VPS kann über ein VPN mit dem lokalen Netzwerk verbunden werden, anschließend muss die gesamte externe Datenverkehrs-Routing darüber konfiguriert werden. Im Falle eines DDoS-Angriffs müssen die Pakete dann nicht über die Verbindung zum Anbieter geleitet werden, sondern können an einem externen Knoten blockiert werden.
Wahlproblem
Es ist sehr schwierig, einen Spitzenreiter unter den kostenlosen Systemen zu finden. Die Auswahl von IDS/IPS hängt von der Netzwerktopologie, den erforderlichen Schutzfunktionen sowie den persönlichen Vorlieben des Administrators und dessen Bereitschaft ab, sich mit der Konfiguration zu beschäftigen. Snort hat eine längere Geschichte und ist besser dokumentiert, obwohl Informationen über Suricata ebenfalls leicht im Internet zu finden sind. In jedem Fall erfordert die Einarbeitung in das System gewisse Anstrengungen, die letztlich belohnt werden — kommerzielle Hardware- und Hardware-Software-IDS/IPS sind recht teuer und passen nicht immer ins Budget. Es ist nicht notwendig, die investierte Zeit zu bedauern, denn ein guter Administrator verbessert stets seine Qualifikationen auf Kosten des Arbeitgebers. In dieser Situation haben alle Vorteile. Im nächsten Artikel werden wir einige Optionen für die Bereitstellung von Suricata betrachten und das modernere System praktisch mit dem klassischen IDS/IPS Snort vergleichen.
Quelle: habr.com
