{"id":86501,"date":"2020-06-26T07:42:00","date_gmt":"2020-06-26T05:42:00","guid":{"rendered":"https:\/\/prohoster.info\/blog\/administrirovanie\/snort-ili-suricata-chast-3-zashhishhaem-ofisnuyu-set"},"modified":"2020-06-26T07:42:00","modified_gmt":"2020-06-26T05:42:00","slug":"snort-ili-suricata-chast-3-zashhishhaem-ofisnuyu-set","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/administrirovanie\/snort-ili-suricata-chast-3-zashhishhaem-ofisnuyu-set","title":{"rendered":"Snort oder Suricata. Teil 3: Sicherung des B\u00fcronetzwerks","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"<p>In <noindex><a rel=\"nofollow\" href=\"https:\/\/habr.com\/ru\/company\/ruvds\/blog\/507234\/\">im vorherigen Artikel<\/a><\/noindex> haben wir erkl\u00e4rt, wie man eine stabile Version von Suricata auf Ubuntu 18.04 LTS einrichtet. Es ist relativ einfach, ein IDS auf einem einzelnen Knoten zu konfigurieren und kostenlose Regelsets anzubinden. Heute werden wir untersuchen, wie wir mit der auf einem virtuellen Server installierten Suricata das Unternehmensnetzwerk vor den h\u00e4ufigsten Angriffsarten sch\u00fctzen. Dazu ben\u00f6tigen wir einen VDS mit Linux und zwei Rechenkernen. Der Arbeitsspeicher h\u00e4ngt von der Auslastung ab: F\u00fcr einige reicht 2 GB, w\u00e4hrend f\u00fcr ernstere Aufgaben 4 oder sogar 6 GB erforderlich sein k\u00f6nnten. Der Vorteil einer virtuellen Maschine liegt in der M\u00f6glichkeit, Experimente durchzuf\u00fchren: Man kann mit einer minimalen Konfiguration beginnen und die Ressourcen nach Bedarf erh\u00f6hen.<\/p>\n<p><noindex><a rel=\"nofollow\" href=\"https:\/\/habr.com\/ru\/company\/ruvds\/blog\/508052\/\"><img decoding=\"async\" alt=\"Snort oder Suricata. Teil 3: Sicherung des B\u00fcronetzwerks\" src=\"\/wp-content\/uploads\/2020\/06\/27cd9ba910418444ac7a2b5482f2a8a7.jpeg\" style=\"display:block;margin: 0 auto;\" \/><\/a><\/noindex><noindex><a rel=\"nofollow\" name=\"habracut\"><\/a><\/noindex>Foto: Reuters<\/p>\n<ul>\n<li><noindex><a rel=\"nofollow\" href=\"https:\/\/habr.com\/ru\/company\/ruvds\/blog\/506730\/\">Snort oder Suricata. Teil 1: Auswahl einer kostenlosen IDS\/IPS zum Schutz des Unternehmensnetzwerks<\/a><\/noindex><\/li>\n<li><noindex><a rel=\"nofollow\" href=\"https:\/\/habr.com\/ru\/company\/ruvds\/blog\/507234\/\">Snort oder Suricata. Teil 2: Installation und erste Konfiguration von Suricata.<\/a><\/noindex><\/li>\n<\/ul>\n<p><\/p>\n<h2>Netzwerke zusammenf\u00fchren<\/h2>\n<p>\nDie Einrichtung von IDS auf einer virtuellen Maschine kann zun\u00e4chst f\u00fcr Tests erforderlich sein. Wenn Sie noch nie mit solchen L\u00f6sungen gearbeitet haben, sollten Sie nicht sofort dazu \u00fcbergehen, physische Hardware zu bestellen und die Netzwerktopologie zu \u00e4ndern. Es ist besser, das System sicher und ohne unn\u00f6tige Ausgaben zu testen, um den Bedarf an Rechenressourcen zu bestimmen. Es ist wichtig zu verstehen, dass der gesamte Unternehmensverkehr \u00fcber einen einzigen externen Knoten geleitet werden muss: Um ein lokales Netzwerk (oder mehrere Netzwerke) mit einem VDS, auf dem die IDS Suricata installiert ist, zu verbinden, k\u00f6nnen Sie <noindex><a rel=\"nofollow\" href=\"https:\/\/www.softether.org\/\">SoftEther<\/a><\/noindex> \u2014 ein einfach einzurichtender plattform\u00fcbergreifender VPN-Server, der zuverl\u00e4ssige Verschl\u00fcsselung bietet. Ein B\u00fcroanschluss zum Internet hat m\u00f6glicherweise keine echte IP, daher w\u00e4re es besser, ihn auf einem VPS zu betreiben. Im Ubuntu-Repository sind keine vorgefertigten Pakete verf\u00fcgbar, die Software muss entweder von <noindex><a rel=\"nofollow\" href=\"https:\/\/www.softether.org\/\">der Projektwebsite<\/a><\/noindex>, oder aus einem externen Repository auf dem Service <noindex><a rel=\"nofollow\" href=\"https:\/\/launchpad.net\/~paskal-07\/+archive\/ubuntu\/softethervpn\">Launchpad<\/a><\/noindex> heruntergeladen werden (wenn Sie ihm vertrauen):<\/p>\n<pre><code class=\"bash\">sudo add-apt-repository ppa:paskal-07\/softethervpn\nsudo apt-get update<\/code><\/pre>\n<p>\nDie Liste der verf\u00fcgbaren Pakete kann mit folgendem Befehl angezeigt werden:<\/p>\n<pre><code class=\"bash\">apt-cache search softether<\/code><\/pre>\n<p>\n<img decoding=\"async\" alt=\"Snort oder Suricata. Teil 3: Sicherung des B\u00fcronetzwerks\" src=\"\/wp-content\/uploads\/2020\/06\/14803c275d46c02a43a52eec9254042c.jpeg\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\nWir ben\u00f6tigen softether-vpnserver (der Server wird in einer Testkonfiguration auf VDS ausgef\u00fchrt) sowie softether-vpncmd \u2013 das Kommandozeilen-Tool zur Einrichtung.<\/p>\n<pre><code class=\"bash\">sudo apt-get install softether-vpnserver softether-vpncmd<\/code><\/pre>\n<p>\nZur Konfiguration des Servers verwenden wir ein spezielles Kommandozeilen-Tool:<\/p>\n<pre><code class=\"bash\">sudo vpncmd<\/code><\/pre>\n<p>\n<img decoding=\"async\" alt=\"Snort oder Suricata. Teil 3: Sicherung des B\u00fcronetzwerks\" src=\"\/wp-content\/uploads\/2020\/06\/39e1f66848527a771a246aaa9f163933.jpeg\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\nWir werden nicht im Detail auf die Konfiguration eingehen: Der Prozess ist ziemlich einfach und gut in zahlreichen Ver\u00f6ffentlichungen beschrieben, sodass er nicht direkt zum Thema des Artikels geh\u00f6rt. Kurz gesagt, nach dem Start von vpncmd m\u00fcssen Sie Punkt 1 ausw\u00e4hlen, um zur Server-Verwaltungskonsole zu gelangen. Dazu geben Sie \"localhost\" ein und dr\u00fccken Enter anstelle des Hub-Namens. In der Konsole wird das Administratorpasswort mit dem Befehl serverpasswordset festgelegt, der virtuelle Hub DEFAULT wird gel\u00f6scht (Befehl hubdelete), und es wird ein neuer Hub mit dem Namen Suricata_VPN erstellt, und sein Passwort wird festgelegt (Befehl hubcreate). Danach wechseln Sie mit dem Befehl hub Suricata_VPN in die Verwaltungsoberfl\u00e4che des neuen Hubs, um eine Gruppe und einen Benutzer mit den Befehlen groupcreate und usercreate zu erstellen. Das Benutzerpasswort wird mit userpasswordset festgelegt. <\/p>\n<p>SoftEther unterst\u00fctzt zwei Verkehrstransfermodi: SecureNAT und Local Bridge. Der erste ist eine propriet\u00e4re Technologie zum Aufbau eines virtuellen privaten Netzwerks mit eigenem NAT und DHCP. SecureNAT ben\u00f6tigt kein TUN\/TAP und keine Anpassung von Netfilter oder einer anderen Firewall. Die Routingprozesse betreffen nicht den Systemkern, sondern sind vollst\u00e4ndig virtualisiert und funktionieren auf jedem VPS\/VDS, unabh\u00e4ngig vom verwendeten Hypervisor. Dies kann zu einer h\u00f6heren CPU-Auslastung und einer verringerten Geschwindigkeit im Vergleich zum Local Bridge-Modus f\u00fchren, der den virtuellen Hub von SoftEther mit dem physischen Netzwerkadapter oder dem TAP-Ger\u00e4t verbindet. <\/p>\n<p>Die Konfiguration wird in diesem Fall komplizierter, da das Routing auf Kernel-Ebene \u00fcber Netfilter erfolgt. Unsere VDS basieren auf Hyper-V, weshalb wir im letzten Schritt einen lokalen Bridge erstellen und das TAP-Ger\u00e4t mit dem Befehl bridgecreate Suricate_VPN -device:suricate_vpn -tap:yes aktivieren. Nach dem Verlassen der Verwaltungskonsole des Hubs sehen wir in dem System eine neue Netzwerkschnittstelle, die noch keine IP zugewiesen bekommen hat:<\/p>\n<pre><code class=\"bash\">ifconfig<\/code><\/pre>\n<p>\n<img decoding=\"async\" alt=\"Snort oder Suricata. Teil 3: Sicherung des B\u00fcronetzwerks\" src=\"\/wp-content\/uploads\/2020\/06\/336fc07fbb44793719789e3f3ce1f124.jpeg\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\nDann m\u00fcssen wir das Routing von Paketen zwischen den Schnittstellen aktivieren (ip forward), falls es nicht aktiv ist:<\/p>\n<pre><code class=\"bash\">sudo nano \/etc\/sysctl.conf<\/code><\/pre>\n<p>\nKommentieren Sie die folgende Zeile aus:<\/p>\n<pre><code class=\"bash\">net.ipv4.ip_forward = 1<\/code><\/pre>\n<p>\nWir speichern die \u00c4nderungen in der Datei, verlassen den Editor und wenden sie mit dem folgenden Befehl an:<\/p>\n<pre><code class=\"bash\">sudo sysctl -p<\/code><\/pre>\n<p>\nAls N\u00e4chstes m\u00fcssen wir f\u00fcr das virtuelle Netzwerk ein Subnetz mit fiktiven IPs definieren (zum Beispiel 10.0.10.0\/24) und die Adresse dem Interface zuweisen:<\/p>\n<pre><code class=\"bash\">sudo ifconfig tap_suricata_vp 10.0.10.1\/24<\/code><\/pre>\n<p>\nDann m\u00fcssen wir die Netfilter-Regeln festlegen.<\/p>\n<p>1. Falls n\u00f6tig, eingehende Pakete auf den abgeh\u00f6rten Ports erlauben (das propriet\u00e4re SoftEther-Protokoll verwendet HTTPS und Port 443)<\/p>\n<pre><code class=\"bash\">sudo iptables -A INPUT -p tcp -m tcp --dport 443 -j ACCEPT\nsudo iptables -A INPUT -p tcp -m tcp --dport 992 -j ACCEPT\nsudo iptables -A INPUT -p tcp -m tcp --dport 1194 -j ACCEPT\nsudo iptables -A INPUT -p udp -m udp --dport 1194 -j ACCEPT\nsudo iptables -A INPUT -p tcp -m tcp --dport 5555 -j ACCEPT<\/code><\/pre>\n<p>\n2. Wir konfigurieren NAT aus dem Subnetz 10.0.10.0\/24 auf die \u00f6ffentliche IP des Servers<\/p>\n<pre><code class=\"bash\">sudo iptables -t nat -A POSTROUTING -s 10.0.10.0\/24 -j SNAT --to-source 45.132.17.140<\/code><\/pre>\n<p>\n3. Wir erlauben durchgehende Pakete aus dem Subnetz 10.0.10.0\/24<\/p>\n<pre><code class=\"bash\">sudo iptables -A FORWARD -s 10.0.10.0\/24 -j ACCEPT<\/code><\/pre>\n<p>\n4. Erlauben Sie durchgehende Pakete f\u00fcr bereits etablierte Verbindungen<\/p>\n<pre><code class=\"bash\">sudo iptables -A FORWARD -p all -m state --state ESTABLISHED,RELATED -j ACCEPT<\/code><\/pre>\n<p>\nDie Automatisierung des Prozesses beim Neustart des Systems mithilfe von Init-Skripten \u00fcberlassen wir den Lesern als Hausaufgabe. <\/p>\n<p>Wenn Sie IPs automatisch an Kunden vergeben m\u00f6chten, m\u00fcssen Sie einen DHCP-Dienst f\u00fcr den lokalen Bridge einrichten. Damit ist die Serverkonfiguration abgeschlossen und Sie k\u00f6nnen zu den Clients \u00fcbergehen. SoftEther unterst\u00fctzt eine Vielzahl von Protokollen, deren Nutzung von den M\u00f6glichkeiten der vorhandenen Netzwerkausr\u00fcstung abh\u00e4ngt. <\/p>\n<pre><code class=\"bash\">netstat -ap |grep vpnserver<\/code><\/pre>\n<p>\n<img decoding=\"async\" alt=\"Snort oder Suricata. Teil 3: Sicherung des B\u00fcronetzwerks\" src=\"\/wp-content\/uploads\/2020\/06\/42511aeec204ee27b65325d296e30db3.jpeg\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\nDa unser Test-Router ebenfalls unter Ubuntu l\u00e4uft, installieren wir aus einem externen Repository die Pakete softether-vpnclient und softether-vpncmd, um das propriet\u00e4re Protokoll zu nutzen. Wir m\u00fcssen den Client starten:<\/p>\n<pre><code class=\"bash\">sudo vpnclient start<\/code><\/pre>\n<p>\nZur Konfiguration verwenden wir das Tool vpncmd und w\u00e4hlen localhost als Maschine aus, auf der vpnclient l\u00e4uft. Alle Befehle erfolgen in der Konsole: Wir m\u00fcssen eine virtuelle Schnittstelle (NicCreate) und ein Konto (AccountCreate) erstellen. <\/p>\n<p>In einigen F\u00e4llen ist es erforderlich, die Art der Authentifizierung mit den Befehlen AccountAnonymousSet, AccountPasswordSet, AccountCertSet und AccountSecureCertSet festzulegen. Da wir kein DHCP verwenden, wird die Adresse f\u00fcr den virtuellen Adapter manuell festgelegt. <\/p>\n<p>Dar\u00fcber hinaus m\u00fcssen wir das IP-Forwarding aktivieren (Parameter net.ipv4.ip_forward=1 in der Datei \/etc\/sysctl.conf) und statische Routen konfigurieren. Falls n\u00f6tig, kann auf dem VDS mit Suricata eine Portweiterleitung f\u00fcr die Nutzung in einem lokalen Netzwerk eingerichtet werden. Damit ist die Netzwerkverbindung abgeschlossen.<\/p>\n<p>So wird unsere vorgeschlagene Konfiguration aussehen:<\/p>\n<p><img decoding=\"async\" alt=\"Snort oder Suricata. Teil 3: Sicherung des B\u00fcronetzwerks\" src=\"\/wp-content\/uploads\/2020\/06\/8c650da06420efd25cbb6ed71f37aac2.jpeg\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<\/p>\n<h2>Suricata konfigurieren<\/h2>\n<p>\nIn <noindex><a rel=\"nofollow\" href=\"https:\/\/habr.com\/ru\/company\/ruvds\/blog\/507234\/\">im vorherigen Artikel<\/a><\/noindex> Wir haben \u00fcber zwei Betriebsmodi des IDS gesprochen: \u00fcber die NFQUEUE (NFQ-Modus) und \u00fcber Zero Copy (AF_PACKET-Modus). Letzterer erfordert zwei Schnittstellen, bietet jedoch eine h\u00f6here Geschwindigkeit \u2014 genau diesen werden wir nutzen. Der Parameter ist standardm\u00e4\u00dfig in \/etc\/default\/suricata gesetzt. Au\u00dferdem m\u00fcssen wir den Abschnitt vars in \/etc\/suricata\/suricata.yaml bearbeiten, um dort das virtuelle Subnetz als Heimnetzwerk anzugeben.<\/p>\n<p><img decoding=\"async\" alt=\"Snort oder Suricata. Teil 3: Sicherung des B\u00fcronetzwerks\" src=\"\/wp-content\/uploads\/2020\/06\/b3dc856ba0436de16fbd2ed0f1fa70a9.jpeg\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\nZum Neustarten des IDS verwenden wir den Befehl:<\/p>\n<pre><code class=\"bash\">systemctl restart suricata<\/code><\/pre>\n<p>\nDie L\u00f6sung ist fertig, nun m\u00f6chten Sie m\u00f6glicherweise deren Widerstandsf\u00e4higkeit gegen Angriffe von Schadsoftware \u00fcberpr\u00fcfen.<\/p>\n<h2>Angriffe simulieren<\/h2>\n<p>\nEs kann mehrere Szenarien f\u00fcr den produktiven Einsatz des externen IDS-Dienstes geben:<\/p>\n<p><b>Schutz vor DDoS-Angriffen (Hauptzweck)<\/b><\/p>\n<p>Die Implementierung einer solchen L\u00f6sung innerhalb eines Firmennetzwerks ist komplex, da die zu analysierenden Pakete den Internet-gerichteten Anschluss des Systems erreichen m\u00fcssen. Selbst wenn das IDS diese blockiert, kann parasit\u00e4rer Datenverkehr die \u00dcbertragungsleitung \u00fcberlasten. Um dies zu vermeiden, sollte ein VPS mit einer ausreichend leistungsf\u00e4higen Internetverbindung bestellt werden, der in der Lage ist, den gesamten Verkehr des lokalen Netzwerks sowie den gesamten externen Datenverkehr zu verarbeiten. Oft ist das einfacher und kosteng\u00fcnstiger als eine Erweiterung der B\u00fcroanbindung. Alternativ kann auf spezialisierte DDoS-Schutzdienste verwiesen werden. Die Kosten f\u00fcr deren Dienste sind vergleichbar mit den Kosten f\u00fcr einen virtuellen Server, wobei jedoch keine aufwendige Konfiguration erforderlich ist. Es gibt allerdings auch Nachteile: F\u00fcr sein Geld erh\u00e4lt der Kunde lediglich DDoS-Schutz, w\u00e4hrend ein eigenes IDS beliebig konfiguriert werden kann.<\/p>\n<p><b>Schutz vor externen Angriffen anderer Art<\/b> <\/p>\n<p>Suricata kann mit Versuchen umgehen, verschiedene Schwachstellen in den \u00fcber das Internet zug\u00e4nglichen Diensten des Unternehmensnetzwerks (wie E-Mail-Server, Webserver und Webanwendungen) auszunutzen. In der Regel wird IDS innerhalb des lokalen Netzwerks nach den Grenzger\u00e4ten installiert, jedoch ist auch eine externe Installation sinnvoll.<\/p>\n<p><b>Schutz vor internen Bedrohungen<\/b><\/p>\n<p>Trotz aller Bem\u00fchungen des Systemadministrators k\u00f6nnen Computer im Unternehmensnetzwerk mit Malware infiziert werden. Zudem gibt es manchmal Unruhestifter im lokalen Netzwerk, die versuchen, unerlaubte Aktivit\u00e4ten auszuf\u00fchren. Suricata kann helfen, solche Versuche zu blockieren, allerdings ist es besser, sie innerhalb des Perimeters zu installieren und in Kombination mit einem Managed Switch zu verwenden, der den Datenverkehr auf einen Port spiegeln kann. Eine externe IDS ist in diesem Fall ebenfalls nicht nutzlos \u2014 zumindest kann sie versuchen, die Versuche von im LAN lebenden Malware-Angreifern, mit externen Servern zu kommunizieren, zu erfassen.<\/p>\n<p>Zun\u00e4chst erstellen wir einen weiteren Test-AngriffsvPS, und auf dem Router des lokalen Netzwerks richten wir Apache mit der Standardkonfiguration ein. Danach leiten wir den Port 80 von dem IDS-Server zu ihm weiter. Anschlie\u00dfend simulieren wir einen DDoS-Angriff von dem angreifenden Knoten. Dazu laden wir ein kleines Programm namens xerxes von GitHub herunter, kompilieren es und starten es auf dem angreifenden Knoten (eine gcc-Paketinstallation k\u00f6nnte erforderlich sein):<\/p>\n<pre><code class=\"bash\">git clone https:\/\/github.com\/Soldie\/xerxes-DDos-zanyarjamal-C.git\ncd xerxes-DDos-zanyarjamal-C\/\ngcc xerxes.c -o xerxes\n.\/xerxes 45.132.17.140 80<\/code><\/pre>\n<p>\nDas Ergebnis seiner Ausf\u00fchrung war folgendes:<\/p>\n<p><img decoding=\"async\" alt=\"Snort oder Suricata. Teil 3: Sicherung des B\u00fcronetzwerks\" src=\"\/wp-content\/uploads\/2020\/06\/80fe4d74ae71cfb16c91336102479670.jpeg\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\nSuricata blockiert den Angreifer, und die Standardseite von Apache \u00f6ffnet sich trotz unseres improvisierten Angriffs und des recht schwachen Kanals des \"B\u00fcro\"- (in Wirklichkeit heimischen) Netzwerks. F\u00fcr ernsthaftere Aufgaben sollten Sie <noindex><a rel=\"nofollow\" href=\"https:\/\/www.metasploit.com\/\">Metasploit Framework<\/a><\/noindex>verwenden. Es ist auf die Durchf\u00fchrung von Penetrationstests ausgelegt und erm\u00f6glicht die Simulation verschiedenster Angriffe. Eine Installationsanleitung finden Sie <noindex><a rel=\"nofollow\" href=\"https:\/\/www.metasploit.com\/get-started\">verf\u00fcgbar<\/a><\/noindex> auf der Projektwebsite. Nach der Installation ist ein Update erforderlich:<\/p>\n<pre><code class=\"bash\">sudo msfupdate<\/code><\/pre>\n<p>\nUm zu testen, starten wir msfconsole.<\/p>\n<p><img decoding=\"async\" alt=\"Snort oder Suricata. Teil 3: Sicherung des B\u00fcronetzwerks\" src=\"\/wp-content\/uploads\/2020\/06\/b2a08cf048ae726ca720e942729ed7f8.jpeg\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\nLeider bietet die neueste Version des Frameworks keine M\u00f6glichkeit f\u00fcr automatisierte Exploits, daher m\u00fcssen die Exploits manuell durchgegangen und mit dem Befehl use ausgef\u00fchrt werden. Zun\u00e4chst sollte man die offenen Ports auf dem angegriffenen Ger\u00e4t identifizieren, beispielsweise mit nmap (in unserem Fall kann netstat auf dem angegriffenen Knoten dies gut ersetzen), und dann geeignete Module ausw\u00e4hlen und nutzen. <noindex><a rel=\"nofollow\" href=\"https:\/\/www.rapid7.com\/db\/\">Metasploit-Module<\/a><\/noindex>.\u00a0<\/p>\n<p>Es gibt auch andere Tools zur \u00dcberpr\u00fcfung der Widerstandsf\u00e4higkeit von IDS gegen Angriffe, einschlie\u00dflich Online-Diensten. Neugierige k\u00f6nnen sogar einen Stresstest mit einer Testversion durchf\u00fchren. <noindex><a rel=\"nofollow\" href=\"https:\/\/www.ipstresser.com\/\">IP Stresser<\/a><\/noindex>. Um die Reaktion auf interne Angreifer zu \u00fcberpr\u00fcfen, sollten spezielle Werkzeuge auf einem der Maschinen im lokalen Netzwerk installiert werden. Es gibt zahlreiche Optionen, die regelm\u00e4\u00dfig nicht nur im Testumfeld, sondern auch in produktiven Systemen eingesetzt werden sollten, aber das ist eine ganz andere Geschichte.<\/p>\n<p><noindex><a rel=\"nofollow\" href=\"http:\/\/ruvds.com\/ru-rub?utm_source=habr&amp;utm_medium=article&amp;utm_campaign=ek&amp;utm_content=snort-ili-suricata-3\"><img decoding=\"async\" alt=\"Snort oder Suricata. Teil 3: Sicherung des B\u00fcronetzwerks\" src=\"\/wp-content\/uploads\/2020\/06\/801a7d4e4fa0aa755205509bd2d26020.jpeg\" style=\"display:block;margin: 0 auto;\" \/><\/a><\/noindex><\/p>\n<p><noindex><a rel=\"nofollow\" href=\"http:\/\/ruvds.com\/ru-rub?utm_source=habr&amp;utm_medium=article&amp;utm_campaign=ek&amp;utm_content=snort-ili-suricata-3#order\"><img decoding=\"async\" alt=\"Snort oder Suricata. Teil 3: Sicherung des B\u00fcronetzwerks\" src=\"\/wp-content\/uploads\/2020\/06\/e2c2a9e30fae35d3a3afaea1915dc106.jpeg\" style=\"display:block;margin: 0 auto;\" \/><\/a><\/noindex><br \/>\n<br \/>Quelle: <a content=\"nofollow\" rel=\"nofollow\" href=\"https:\/\/habr.com\/ru\/company\/ruvds\/blog\/508052\/\">habr.com<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"<p>\u0412 \u043f\u0440\u0435\u0434\u044b\u0434\u0443\u0449\u0435\u0439 \u0441\u0442\u0430\u0442\u044c\u0435 \u043c\u044b \u0440\u0430\u0441\u0441\u043a\u0430\u0437\u0430\u043b\u0438, \u043a\u0430\u043a \u0437\u0430\u043f\u0443\u0441\u0442\u0438\u0442\u044c \u0441\u0442\u0430\u0431\u0438\u043b\u044c\u043d\u0443\u044e \u0432\u0435\u0440\u0441\u0438\u044e Suricata \u0432 Ubuntu 18.04 LTS. \u041d\u0430\u0441\u0442\u0440\u043e\u0438\u0442\u044c IDS \u043d\u0430 \u043e\u0434\u043d\u043e\u043c \u0443\u0437\u043b\u0435 \u0438 \u043f\u043e\u0434\u043a\u043b\u044e\u0447\u0438\u0442\u044c \u0431\u0435\u0441\u043f\u043b\u0430\u0442\u043d\u044b\u0435 \u043d\u0430\u0431\u043e\u0440\u044b \u043f\u0440\u0430\u0432\u0438\u043b \u0434\u043e\u0432\u043e\u043b\u044c\u043d\u043e \u043d\u0435\u0441\u043b\u043e\u0436\u043d\u043e. \u0421\u0435\u0433\u043e\u0434\u043d\u044f \u043c\u044b \u0440\u0430\u0437\u0431\u0435\u0440\u0435\u043c\u0441\u044f, \u043a\u0430\u043a \u0441 \u043f\u043e\u043c\u043e\u0449\u044c\u044e \u0443\u0441\u0442\u0430\u043d\u043e\u0432\u043b\u0435\u043d\u043d\u043e\u0439 \u043d\u0430 \u0432\u0438\u0440\u0442\u0443\u0430\u043b\u044c\u043d\u043e\u043c \u0441\u0435\u0440\u0432\u0435\u0440\u0435 Suricata \u0437\u0430\u0449\u0438\u0442\u0438\u0442\u044c \u043a\u043e\u0440\u043f\u043e\u0440\u0430\u0442\u0438\u0432\u043d\u0443\u044e \u0441\u0435\u0442\u044c \u043e\u043d \u043d\u0430\u0438\u0431\u043e\u043b\u0435\u0435 \u0440\u0430\u0441\u043f\u0440\u043e\u0441\u0442\u0440\u0430\u043d\u0435\u043d\u043d\u044b\u0445 \u0432\u0438\u0434\u043e\u0432 \u0430\u0442\u0430\u043a. \u0414\u043b\u044f \u044d\u0442\u043e\u0433\u043e \u043d\u0430\u043c \u043f\u043e\u043d\u0430\u0434\u043e\u0431\u0438\u0442\u0441\u044f VDS \u043d\u0430 Linux \u0441 \u0434\u0432\u0443\u043c\u044f \u0432\u044b\u0447\u0438\u0441\u043b\u0438\u0442\u0435\u043b\u044c\u043d\u044b\u043c\u0438 [&hellip;]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":86502,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[688],"tags":[],"class_list":["post-86501","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-administrirovanie"],"aioseo_notices":[],"aioseo_head":"\n\t\t<!-- All in One SEO 4.9.10 - aioseo.com -->\n\t<meta name=\"description\" content=\"\u0412 \u043f\u0440\u0435\u0434\u044b\u0434\u0443\u0449\u0435\u0439 \u0441\u0442\u0430\u0442\u044c\u0435 \u043c\u044b \u0440\u0430\u0441\u0441\u043a\u0430\u0437\u0430\u043b\u0438, \u043a\u0430\u043a \u0437\u0430\u043f\u0443\u0441\u0442\u0438\u0442\u044c \u0441\u0442\u0430\u0431\u0438\u043b\u044c\u043d\u0443\u044e \u0432\u0435\u0440\u0441\u0438\u044e Suricata \u0432 Ubuntu 18.04 LTS. \u041d\u0430\u0441\u0442\u0440\u043e\u0438\u0442\u044c IDS \u043d\u0430 \u043e\u0434\u043d\u043e\u043c \u0443\u0437\u043b\u0435 \u0438 \u043f\u043e\u0434\u043a\u043b\u044e\u0447\u0438\u0442\u044c \u0431\u0435\u0441\u043f\u043b\u0430\u0442\u043d\u044b\u0435 \u043d\u0430\u0431\u043e\u0440\u044b \u043f\u0440\u0430\u0432\u0438\u043b \u0434\u043e\u0432\u043e\u043b\u044c\u043d\u043e \u043d\u0435\u0441\u043b\u043e\u0436\u043d\u043e. \u0421\u0435\u0433\u043e\u0434\u043d\u044f \u043c\u044b \u0440\u0430\u0437\u0431\u0435\u0440\u0435\u043c\u0441\u044f, \u043a\u0430\u043a \u0441 \u043f\u043e\u043c\u043e\u0449\u044c\u044e \u0443\u0441\u0442\u0430\u043d\u043e\u0432\u043b\u0435\u043d\u043d\u043e\u0439 \u043d\u0430 \u0432\u0438\u0440\u0442\u0443\u0430\u043b\u044c\u043d\u043e\u043c \u0441\u0435\u0440\u0432\u0435\u0440\u0435 Suricata \u0437\u0430\u0449\u0438\u0442\u0438\u0442\u044c \u043a\u043e\u0440\u043f\u043e\u0440\u0430\u0442\u0438\u0432\u043d\u0443\u044e \u0441\u0435\u0442\u044c \u043e\u043d \u043d\u0430\u0438\u0431\u043e\u043b\u0435\u0435 \u0440\u0430\u0441\u043f\u0440\u043e\u0441\u0442\u0440\u0430\u043d\u0435\u043d\u043d\u044b\u0445 \u0432\u0438\u0434\u043e\u0432 \u0430\u0442\u0430\u043a. \u0414\u043b\u044f \u044d\u0442\u043e\u0433\u043e \u043d\u0430\u043c \u043f\u043e\u043d\u0430\u0434\u043e\u0431\u0438\u0442\u0441\u044f VDS \u043d\u0430 Linux \u0441 \u0434\u0432\u0443\u043c\u044f \u0432\u044b\u0447\u0438\u0441\u043b\u0438\u0442\u0435\u043b\u044c\u043d\u044b\u043c\u0438\" \/>\n\t<meta name=\"robots\" content=\"max-image-preview:large\" \/>\n\t<meta name=\"author\" content=\"Yuri Gagarin\"\/>\n\t<link rel=\"canonical\" href=\"https:\/\/prohoster.info\/de\/blog\/administrirovanie\/snort-ili-suricata-chast-3-zashhishhaem-ofisnuyu-set\" \/>\n\t<meta name=\"generator\" content=\"All in One SEO (AIOSEO) 4.9.10\" \/>\n\t\t<meta property=\"og:locale\" content=\"de_DE\" \/>\n\t\t<meta property=\"og:site_name\" content=\"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b\" \/>\n\t\t<meta property=\"og:type\" content=\"article\" \/>\n\t\t<meta property=\"og:title\" content=\"\ud83e\udd47Snort \u0438\u043b\u0438 Suricata. \u0427\u0430\u0441\u0442\u044c 3: \u0437\u0430\u0449\u0438\u0449\u0430\u0435\u043c \u043e\u0444\u0438\u0441\u043d\u0443\u044e \u0441\u0435\u0442\u044c | ProHoster\" \/>\n\t\t<meta property=\"og:description\" content=\"\u0412 \u043f\u0440\u0435\u0434\u044b\u0434\u0443\u0449\u0435\u0439 \u0441\u0442\u0430\u0442\u044c\u0435 \u043c\u044b \u0440\u0430\u0441\u0441\u043a\u0430\u0437\u0430\u043b\u0438, \u043a\u0430\u043a \u0437\u0430\u043f\u0443\u0441\u0442\u0438\u0442\u044c \u0441\u0442\u0430\u0431\u0438\u043b\u044c\u043d\u0443\u044e \u0432\u0435\u0440\u0441\u0438\u044e Suricata \u0432 Ubuntu 18.04 LTS. \u041d\u0430\u0441\u0442\u0440\u043e\u0438\u0442\u044c IDS \u043d\u0430 \u043e\u0434\u043d\u043e\u043c \u0443\u0437\u043b\u0435 \u0438 \u043f\u043e\u0434\u043a\u043b\u044e\u0447\u0438\u0442\u044c \u0431\u0435\u0441\u043f\u043b\u0430\u0442\u043d\u044b\u0435 \u043d\u0430\u0431\u043e\u0440\u044b \u043f\u0440\u0430\u0432\u0438\u043b \u0434\u043e\u0432\u043e\u043b\u044c\u043d\u043e \u043d\u0435\u0441\u043b\u043e\u0436\u043d\u043e. \u0421\u0435\u0433\u043e\u0434\u043d\u044f \u043c\u044b \u0440\u0430\u0437\u0431\u0435\u0440\u0435\u043c\u0441\u044f, \u043a\u0430\u043a \u0441 \u043f\u043e\u043c\u043e\u0449\u044c\u044e \u0443\u0441\u0442\u0430\u043d\u043e\u0432\u043b\u0435\u043d\u043d\u043e\u0439 \u043d\u0430 \u0432\u0438\u0440\u0442\u0443\u0430\u043b\u044c\u043d\u043e\u043c \u0441\u0435\u0440\u0432\u0435\u0440\u0435 Suricata \u0437\u0430\u0449\u0438\u0442\u0438\u0442\u044c \u043a\u043e\u0440\u043f\u043e\u0440\u0430\u0442\u0438\u0432\u043d\u0443\u044e \u0441\u0435\u0442\u044c \u043e\u043d \u043d\u0430\u0438\u0431\u043e\u043b\u0435\u0435 \u0440\u0430\u0441\u043f\u0440\u043e\u0441\u0442\u0440\u0430\u043d\u0435\u043d\u043d\u044b\u0445 \u0432\u0438\u0434\u043e\u0432 \u0430\u0442\u0430\u043a. \u0414\u043b\u044f \u044d\u0442\u043e\u0433\u043e \u043d\u0430\u043c \u043f\u043e\u043d\u0430\u0434\u043e\u0431\u0438\u0442\u0441\u044f VDS \u043d\u0430 Linux \u0441 \u0434\u0432\u0443\u043c\u044f \u0432\u044b\u0447\u0438\u0441\u043b\u0438\u0442\u0435\u043b\u044c\u043d\u044b\u043c\u0438\" \/>\n\t\t<meta property=\"og:url\" content=\"https:\/\/prohoster.info\/de\/blog\/administrirovanie\/snort-ili-suricata-chast-3-zashhishhaem-ofisnuyu-set\" \/>\n\t\t<meta property=\"og:image\" content=\"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg\" \/>\n\t\t<meta property=\"og:image:secure_url\" content=\"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg\" \/>\n\t\t<meta property=\"og:image:width\" content=\"350\" \/>\n\t\t<meta property=\"og:image:height\" content=\"350\" \/>\n\t\t<meta property=\"article:published_time\" content=\"2020-06-26T05:42:00+00:00\" \/>\n\t\t<meta property=\"article:modified_time\" content=\"2020-06-26T05:42:00+00:00\" \/>\n\t\t<meta property=\"article:publisher\" content=\"https:\/\/www.facebook.com\/prohoster\" \/>\n\t\t<meta property=\"article:author\" content=\"https:\/\/www.facebook.com\/prohoster\" \/>\n\t\t<!-- All in One SEO -->\n\n","aioseo_head_json":{"title":"\ud83e\udd47Snort oder Suricata. Teil 3: So sch\u00fctzen Sie Ihr B\u00fcro-Netzwerk | ProHoster","description":"Im vorherigen Artikel haben wir erl\u00e4utert, wie man eine stabile Version von Suricata unter Ubuntu 18.04 LTS einrichtet. Es ist recht einfach, ein IDS auf einem Knoten zu konfigurieren und kostenlose Regelsets anzuschlie\u00dfen. Heute werden wir untersuchen, wie wir mit dem auf einem virtuellen Server installierten Suricata das Unternehmensnetzwerk gegen die h\u00e4ufigsten Angriffsarten sch\u00fctzen k\u00f6nnen. Dazu ben\u00f6tigen wir einen VDS mit Linux und zwei Rechenressourcen.","canonical_url":"https:\/\/prohoster.info\/de\/blog\/administrirovanie\/snort-ili-suricata-chast-3-zashhishhaem-ofisnuyu-set","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"de_DE","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47Snort \u0438\u043b\u0438 Suricata. \u0427\u0430\u0441\u0442\u044c 3: \u0437\u0430\u0449\u0438\u0449\u0430\u0435\u043c \u043e\u0444\u0438\u0441\u043d\u0443\u044e \u0441\u0435\u0442\u044c | ProHoster","og:description":"\u0412 \u043f\u0440\u0435\u0434\u044b\u0434\u0443\u0449\u0435\u0439 \u0441\u0442\u0430\u0442\u044c\u0435 \u043c\u044b \u0440\u0430\u0441\u0441\u043a\u0430\u0437\u0430\u043b\u0438, \u043a\u0430\u043a \u0437\u0430\u043f\u0443\u0441\u0442\u0438\u0442\u044c \u0441\u0442\u0430\u0431\u0438\u043b\u044c\u043d\u0443\u044e \u0432\u0435\u0440\u0441\u0438\u044e Suricata \u0432 Ubuntu 18.04 LTS. \u041d\u0430\u0441\u0442\u0440\u043e\u0438\u0442\u044c IDS \u043d\u0430 \u043e\u0434\u043d\u043e\u043c \u0443\u0437\u043b\u0435 \u0438 \u043f\u043e\u0434\u043a\u043b\u044e\u0447\u0438\u0442\u044c \u0431\u0435\u0441\u043f\u043b\u0430\u0442\u043d\u044b\u0435 \u043d\u0430\u0431\u043e\u0440\u044b \u043f\u0440\u0430\u0432\u0438\u043b \u0434\u043e\u0432\u043e\u043b\u044c\u043d\u043e \u043d\u0435\u0441\u043b\u043e\u0436\u043d\u043e. \u0421\u0435\u0433\u043e\u0434\u043d\u044f \u043c\u044b \u0440\u0430\u0437\u0431\u0435\u0440\u0435\u043c\u0441\u044f, \u043a\u0430\u043a \u0441 \u043f\u043e\u043c\u043e\u0449\u044c\u044e \u0443\u0441\u0442\u0430\u043d\u043e\u0432\u043b\u0435\u043d\u043d\u043e\u0439 \u043d\u0430 \u0432\u0438\u0440\u0442\u0443\u0430\u043b\u044c\u043d\u043e\u043c \u0441\u0435\u0440\u0432\u0435\u0440\u0435 Suricata \u0437\u0430\u0449\u0438\u0442\u0438\u0442\u044c \u043a\u043e\u0440\u043f\u043e\u0440\u0430\u0442\u0438\u0432\u043d\u0443\u044e \u0441\u0435\u0442\u044c \u043e\u043d \u043d\u0430\u0438\u0431\u043e\u043b\u0435\u0435 \u0440\u0430\u0441\u043f\u0440\u043e\u0441\u0442\u0440\u0430\u043d\u0435\u043d\u043d\u044b\u0445 \u0432\u0438\u0434\u043e\u0432 \u0430\u0442\u0430\u043a. \u0414\u043b\u044f \u044d\u0442\u043e\u0433\u043e \u043d\u0430\u043c \u043f\u043e\u043d\u0430\u0434\u043e\u0431\u0438\u0442\u0441\u044f VDS \u043d\u0430 Linux \u0441 \u0434\u0432\u0443\u043c\u044f \u0432\u044b\u0447\u0438\u0441\u043b\u0438\u0442\u0435\u043b\u044c\u043d\u044b\u043c\u0438","og:url":"https:\/\/prohoster.info\/de\/blog\/administrirovanie\/snort-ili-suricata-chast-3-zashhishhaem-ofisnuyu-set","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2020-06-26T05:42:00+00:00","article:modified_time":"2020-06-26T05:42:00+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":{"post_id":"86501","title":null,"description":null,"keywords":null,"keyphrases":null,"primary_term":null,"canonical_url":null,"og_title":null,"og_description":null,"og_object_type":"default","og_image_type":"default","og_image_url":null,"og_image_width":null,"og_image_height":null,"og_image_custom_url":null,"og_image_custom_fields":null,"og_video":null,"og_custom_url":null,"og_article_section":null,"og_article_tags":null,"twitter_use_og":false,"twitter_card":"default","twitter_image_type":"default","twitter_image_url":null,"twitter_image_custom_url":null,"twitter_image_custom_fields":null,"twitter_title":null,"twitter_description":null,"schema":{"blockGraphs":[],"customGraphs":[],"default":{"data":{"Article":[],"Course":[],"Dataset":[],"FAQPage":[],"Movie":[],"Person":[],"Product":[],"ProductReview":[],"Car":[],"Recipe":[],"Service":[],"SoftwareApplication":[],"WebPage":[]},"graphName":"","isEnabled":true},"graphs":[]},"schema_type":null,"schema_type_options":null,"pillar_content":false,"robots_default":true,"robots_noindex":false,"robots_noarchive":false,"robots_nosnippet":false,"robots_nofollow":false,"robots_noimageindex":false,"robots_noodp":false,"robots_notranslate":false,"robots_max_snippet":null,"robots_max_videopreview":null,"robots_max_imagepreview":"large","priority":null,"frequency":null,"local_seo":null,"seo_analyzer_scan_date":null,"breadcrumb_settings":null,"limit_modified_date":false,"reviewed_by":null,"ai":null,"created":"2021-02-28 13:00:11","updated":"2022-10-02 04:55:20"},"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/posts\/86501","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/comments?post=86501"}],"version-history":[{"count":0,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/posts\/86501\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/media\/86502"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/media?parent=86501"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/categories?post=86501"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/tags?post=86501"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}