Kuna oli piisav kaitseks kohaliku võrgu jaoks tavaline tulemüür jaantiviirustarkvara, kuid kaasaegsete häkkerite rünnakute ja viimasel ajal levinud pahavara vastu on selline komplekt juba vähem efektiivne. Järgneb vanale hea tulemüüri süsteemile, mis analüüsib ainult pakettide päiseid, lubades või blokeerides neid vastavalt kehtestatud reeglitele. Ta ei tea pakettide sisust midagi ja seetõttu ei saa ta ära tunda väliselt seaduslikke tegevusi, mida kavalad kurjategijad võivad sooritada. Antiviirusprogrammid ei püüa alati pahatahtlikku tarkvara kinni, seega seisab administraatori ees ülesanne jälgida anomaalset tegevust ja õigeaegselt nakatunud hostide isoleerimine.
On olemas palju arenenud vahendeid, mis võimaldavad kaitsta ettevõtte IT-infrastruktuuri. Täna räägime avatud lähtekoodiga sissetungi avastamise ja ennetamise süsteemidest, mida saab rakendada ilma kallite seadmete ja tarkvaralitsentside soetamiseta.
IDS/IPS klassifikatsioon
IDS (Intrusion Detection System) – süsteem, mis on mõeldud kahtlaste tegevuste registreerimiseks võrgus või eraldi arvutis. See hoiab sündmuste logisid ja teavitab vastutavat infotehnoloogia spetsialisti. IDS-i koosseisus võib eristada järgmisi elemente:
- sensorid võrgu liikluse, erinevate logide jne vaatlemiseks.
- analüüsialam, mis tuvastab saadud andmetes pahatahtlike tegevuste tunnuseid;
- hüdriik, kuhu kogutakse esialgsed sündmused ja analüüsi tulemused;
- halduskonsool.
Alguses klassifitseeriti IDS erinevate asukohtade järgi: nad võisid olla suunatud üksikute sõlmede kaitsmiseks (host-based või Host Intrusion Detection System – HIDS) või kaitsta kogu ettevõtte võrku (network-based või Network Intrusion Detection System – NIDS). Tuleb mainida ka nii-öelda APIDS (rakenduse protokolli põhised IDS): need jälgivad piiratud arvu rakendustasandi protokolle, et tuvastada spetsiifilisi rünnakuid ja nad ei tegele süvaanalüüsiga võrgupakkides. Sellised tooted meenutavad tavaliselt proksit ja neid kasutatakse konkreetsete teenuste, nagu veebiserverite ja veebirakenduste (näiteks PHP-s kirjutatud), andmebaasiserverite jne kaitseks. Selle klassi tüüpiline esindaja on mod_security veebiserveri Apache jaoks.
Meie huvi keskendub pigem universaalsetele NIDS-idele, mis toetavad laia valikut kommunikatsiooniprotokolle ja sügava paketi analüüsi tehnoloogiaid (DPI). Need jälgivad kogu liiklust alates kanalitasemest ja tuvastavad laia valikut võrgurünnakuid ning volitamata juurdepääsu katsed teabele. Sellised süsteemid erinevad sageli hajutatud arhitektuuriga ja saavad suhelda erinevate aktiivsete võrguseadmetega. Tõdeda tuleb, et paljud tänapäevased NIDS-id on hübriidsed ning ühendavad mitu lähenemist. Sõltuvalt konfiguratsioonist ja seadistustest saavad nad täita erinevaid ülesandeid – näiteks ühe sõlme või kogu võrgu kaitse. Samuti on tööjaamade jaoks mõeldud IDS-funktsioonid üle võtnud viirusetõrjepaketid, mis on tänu sihitud andm varguse troojade levikule muutunud multifunktsionaalseteks tulemüürideks, lahendades ka kahtlase liikluse tuvastamise ja blokeerimise ülesandeid.
Alguses suudsid IDS-id avastada ainult pahatahtliku tarkvara tegevusi, portide skännerite tööd või näiteks ettevõtte turvapoliitikate rikkumisi kasutajate poolt. Teatud sündmuse toimumisel teavitati administraatorit, kuid üsna kiiresti sai selgeks, et lihtsalt rünnaku tuvastamine ei ole piisav – see tuleb blokeerida. Nii muutusid IDS-id IPS-ideks (Intrusion Prevention Systems) – sissetungi ennetamise süsteemideks, mis suudavad suhelda tulemüüridega.
Avastamismeetodid
Tänapäeva sissetungi avastamise ja ennetamise lahendused kasutavad erinevaid pahatahtliku tegevuse määramise meetodeid, mida saab jagada kolme kategooriasse. See annab meile veel ühe süsteemide klassifitseerimise võimaluse:
- Allkirjalised IDS/IPS-id tuvastavad liiklusest teatud mustrid või jälgivad süsteemide oleku muutusi, et määrata võrgurünnak või nakkuse katse. Need ei anna peaaegu kunagi valehäireid ja valepositiivseid tulemusi, kuid ei suuda tuvastada teadmata ohte.
- Anomaalide tuvastamise IDS ei kasuta rünnakusignaale. Need tuvastavad käitumise, mis erineb tavalisest, infosüsteemides (sealhulgas anomaaliad võrguliikluses) ja võivad tuvastada isegi tundmatuid rünnakuid. Sellised süsteemid annavad üsna palju valehäireid ja võivad ebakohasel kasutamisel halvendada kohaliku võrgu töö toimimist.
- Reeglipõhised IDS töötavad põhimõttel: if FAKT then TEGEVUS. Tegelikult on need ekspert süsteemid teadmistebaasidega — faktide ja loogilise järeldamise reeglite kogum. Sellised lahendused on seadistamisel aeganõudvad ja nõuavad administraatorilt põhjalikku arusaamist võrgu toimimisest.
IDS-i arengulugu
Intensiivse Interneti ja ettevõtte võrgu arengu ajastu algas 90ndatel aastatel, kuid arenenud võrgu turvatehnoloogiate üle hakkasid spetsialistid mõtlema veidi varem. 1986. aastal avaldasid Dorothy Denning ja Peter Neumark IDESi (Intrusion detection expert system) mudeli, mis sai enamiku kaasaegsete sissetungi tuvastamise süsteemide aluseks. See kasutas ekspert süsteemi tuntud rünnakute tuvastamiseks ning ka statistilisi meetodeid ja kasutajate/süsteemide profiile. IDES käivitati Suni tööjaamadel, kontrollides võrgu liiklust ja rakenduste andmeid. 1993. aastal ilmus NIDES (Next-generation Intrusion Detection Expert System) — uus põlvkond sissetungi tuvastamise ekspert süsteem.
1988. aastal, põhinedes Denningi ja Neimani töödele, loodi ekspert-süsteem MIDAS (Multics intrusion detection and alerting system), mis kasutas P-BEST ja LISP-i. Samuti loodi samaaegselt statistilistel meetoditel põhinev süsteem Haystack. Aasta hiljem töötati Los Alamosi Rahvuslaboratooriumis välja veel üks statistiline anomaaliate tuvastaja W&S (Wisdom & Sense). Tööstuse areng toimus kiirelt. Näiteks 1990. aastal rakendati süsteemis TIM (Time-based inductive machine) juba anomaaliate tuvastamiseks induktiivset õppimist kasutades järjestikuste kasutajate mustreid (keel Common LISP). NSM (Network Security Monitor) võrreldes pääsudemaatikaga tuvastas anomaaliasid, samas kui ISOA (Information Security Officer’s Assistant) toetas erinevaid tuvastamisstrateegiaid: statistilised meetodid, profiilinõuded ja ekspert-süsteem. AT&T Bell Labsis loodud süsteem ComputerWatch kasutas nii statistilisi meetodeid kui ka reegleid ning UC Berkeleys töötati 1991. aastal välja esimene hajutatud IDS prototüüp - DIDS (Distributed intrusion detection system), mis oli samuti ekspert-süsteem.
Alguses olid IDS-d proprietaarsed, kuid juba 1998. aastal vabastas Lawrence Berkeley National Laboratory Bro (2018. aastal nimetati see ümber Zeekiks) - avatud lähtekoodiga süsteem, mis kasutas libpcap andmeanalüüsi jaoks oma keelt. Sama aasta novembris ilmus libpcap-i kasutav paketisniffer APE, mis kuu aja pärast ümber nimetati Snortiks ja hiljem muutus täielikuks IDS/IPS-iks. Samal ajal hakkasid tulema ka mitmed proprietaarsed lahendused.
Snort ja Suricata
Paljud ettevõtted eelistavad tasuta avatud lähtekoodiga IDS/IPS lahendusi. Pikalt peeti standardlahenduseks juba mainitud Snorti, kuid nüüd on seda asendanud süsteem Suricata. Vaatame nende eeliseid ja puudusi veidi lähemalt. Snort ühendab signatuurmeetodi eelised reaalajas anomaaliate tuvastamise võimalusega. Suricata võimaldab samuti kasutada muid meetodeid peale rünnakute tuvastamise signatuuride alusel. Süsteem loodi Snortist eraldunud arendajate rühma poolt ning toetab IPS-funktsioone alates versioonist 1.4, samas kui Snortis ilmus sissemurdmiste vältimise võimalus hiljem.
Peamine erinevus kahe populaarse toote vahel on see, et Suricata suudab kasutada GPU-d IDS-režiimis arvutuste tegemiseks ning tal on edasijõudnud IPS. Süsteem on algselt loodud mitme lõime jaoks, samas kui Snort on ühelõime toode. Oma pika ajaloo ja pärandatud koodi tõttu ei kasuta see mitme protsessori/tuuma riistvara platvorme tõhusalt, samas kui Suricata suudab tavalisel isiklikul arvutis töödelda liiklust kuni 10 Gbit/s. Kahe süsteemi sarnasuste ja erinevuste üle võib kaua vaielda, kuid kuigi Suricata mootor töötab kiiremini, ei oma see mitte eriti laiade kanalite jaoks põhimõttelist tähtsust.
Paigaldamisvõimalused
IPS tuleb paigutada nii, et süsteem saaks jälgida kontrollitavaid võrgu segmente. Kõige sagedamini on see eraldiseisev arvuti, mille üks liides on ühendatud piiriseadmete järel ja "vaatab" nende kaudu kaitseta avalikesse võrkudesse (Internet). Teine IPS liides ühendatakse kaitstavasse segmenti, et kogu liiklus läheks läbi süsteemi ja seda analüüsitaks. Kompleksemates kaitstavates segmentides võib olla mitu: näiteks ettevõtte võrkudes määratakse sageli välja demilitariseeritud tsoon (DMZ) internetis kergesti ligipääsetavate teenustega.
Selline IPS suudab takistada portide skaneerimise või paroolide tuvastamise, e-posti serveri, veebiserveri või skriptide haavatavuste ärakasutamise ning muid väliseid rünnakute tüüpe. Kui kohaliku võrgu arvutid haigestuvad pahavaraga, ei luba IDS neil luua ühendust väliste botneti serveritega. Tõsisema kaitse jaoks siseriigi võrkudele on tõenäoliselt vajalik keeruline konfiguratsioon ja kallid hallatavad lülitid, mis suudavad peegeldada liiklust, et see ühenduks ühe liidese IDS portidega.
Sageli on ettevõttevahelised võrgud allutatud hajutatud teenuste kättesaamatuse rünnakutele (DDoS). Kuigi kaasaegsed IDS-id suudavad nendega toime tulla, on ülaltoodud juurutuse variant siin vaevalt abiks. Süsteem tuvastab pahatahtliku tegevuse ja blokeerib parasiitse liikluse, kuid selleks peavad paketid läbima välise internetiühenduse ja jõudma selle võrgu liidesesse. Rünnaku intensiivsusest sõltuvalt võib andmeedastuskanal mitte taluda koormust ning ründajate eesmärk saavutatakse. Selliste olukordade jaoks soovitame IDS-i juurutada virtuaalsel serveril, millel on eelnevalt rohkem tootlik internetiühendust. VPS-i saab ühendada kohalikku võrku VPN-i kaudu ja seejärel tuleb seal seadistada kogu väline liiklus. Siis DDoS-rünnaku korral ei pea pakette saatma läbi ühenduse teenusepakkujaga, need blokeeritakse välisel sõlmel.
Valikuprobleem
Tasuta süsteemide seas liidri leidmine on väga keeruline. IDS/IPS-i valik sõltub võrgu topoloogiast, vajalike kaitsefunktsioonidest ja ka administraatori isiklikest eelistustest ning tema soovist seadistustega vaeva näha. Snort'il on pikem ajalugu ja see on paremini dokumenteeritud, kuigi ka Suricata kohta teavet leida pole raske. Igcase tuleb süsteemi omandamiseks teha teatavaid pingutusi, mis lõpuks tasuvad end ära — kaubanduslikud riistvara- ja riistvarapõhised IDS/IPS-id on üsna kallid ja ei sobi alati eelarvesse. Aega, mis on kulutatud, ei tasu kahetseda, sest hea administraator tõstab alati oma kvalifikatsiooni tööandja arvelt. Sellises olukorras jäävad kõik kasu saama. Järgmises artiklis vaatame mõningaid Suricata juurutamise võimalusi ja praktikas võrdleme uuemat süsteemi klassikalise IDS/IPS Snort'iga.
Allikas: habr.com
