Kunagi piisab kohalikus võrgus kaitsmiseks lihtsalt tulekahjust ja viirusetõrjeprogrammidest, kuid kaasaegsete häkkerite rünnakute ja viimastel aastatel suureneva pahavara vastu ei piisa enam sellest komplektist. Vanamoodne tulemüür analüüsib ainult pakettide päiseid, lubades või blokeerides neid vastavalt formaalsete reeglite kogumile. Pakettide sisu kohta ei tea ta midagi ja seetõttu ei suuda ta tuvastada väliselt seaduslikke tegevusi kurjategijatelt. Viirusetõrjeprogrammid ei püüa alati pahavara kinni, seega seisab administraatoril silmitsi vajadus jälgida anomaalset tegevust ja õigeaegselt isoleerida nakatunud hostid.
IT-infrastruktuuri kaitsmiseks on mitmeid edasijõudnud vahendeid. Täna räägime avatud lähtekoodiga sissetungide avastamise ja ennetamise süsteemidest, mida saab rakendada ilma kulukate seadmete ja litsentside ostmiseta.
IDS/IPS klassifikatsioon
IDS (Intrusion Detection System) — süsteem, mille eesmärk on registreerida kahtlasi tegevusi võrgus või eraldi arvutis. See hoiab sündmuste logisid ja teavitab vastutavat teabe turva spetsialisti. IDS-i koosseisu kuuluvad järgmised elemendid:
- sensori seadmed, mis jälgivad võrguliiklust, erinevaid logisid jne.
- analüüsialam, mis tuvastab saadud andmetes kahjuliku mõju tunnuseid;
- ladustamine esmaste sündmuste ja analüüsi tulemuste kogumiseks;
- juhtimiskonsool.
Alguses klassifitseeriti IDS-i nende asukoha alusel: need võisid olla suunatud üksikute nodede kaitsmiseks (host-based ehk Host Intrusion Detection System — HIDS) või kaitsta kogu ettevõtte võrku (network-based ehk Network Intrusion Detection System — NIDS). Tasub mainida nn APIDS-i (rakendusprotokollide põhised IDS-id): need jälgivad piiratud hulka rakendusprotokolle konkreetsete rünnakute tuvastamiseks ning ei tegele süvaanalüüsiga võrgu paketides. Sellised tooted meenutavad sageli proksi ja neid kasutatakse konkreetsete teenuste kaitsmiseks: veebiserverite ja veebirakenduste (näiteks PHP-s kirjutatud), andmebaasiserverite jne. Tüüpiline esindaja sellest klassist on mod_security veebiserverile Apache.
Meie huvi keskendub rohkem universaalsetele NIDS-idele, mis toetavad laia valikut sideprotokolle ja süvitsi mineku analüüsi tehnoloogiaid (DPI). Need jälgivad kogu liiklust alates kanali tasemest ja tuvastavad laia spektri võrgu rünnakuid ning katsed volitamata juurde pääseda teabele. Sageli erinevad sellised süsteemid jaotatud arhitektuuri poolest ning saavad suhelda erinevate aktiivsete võrguseadmetega. Tuleb märkida, et paljud kaasaegsed NIDS-id on hübriidid ja ühendavad mitmeid lähenemisviise. Vastavalt seadistustele ja seadistustele saavad nad lahendada erinevaid ülesandeid – näiteks ühe sõlme või kogu võrgu kaitsmist. Lisaks on tööjaamade IDS-funktsioonid üle võtnud viirusetõrje paketid, mis on muutunud multifunktsionaalseteks tulemüürideks, mis tegelevad sealhulgas kahtlase liikluse tuvastamise ja blokeerimisega.
Esialgu suudsid IDS-id ainult tuvastada pahavara tegevust, portide skannerite töö ja ettevõtte turvapoliitikate rikkumisi. Teatud sündmuse toimumisel teavitati administraatorit, kuid üsna kiiresti mõistus, et rünnaku lihtsalt tuvastamine ei ole piisav — see tuleb blokeerida. Nii transformeerusid IDS-id IPS-ideks (Intrusion Prevention Systems) — sissetungi ennetamise süsteemideks, mis suudavad suhelda võrgufilteritega.
Tuvastamismeetodid
Kaasaegsed sissetungi tuvastamise ja ennetamise lahendused kasutavad erinevaid pahatahtliku tegevuse määratlemise meetodeid, mida saab jagada kolme kategooriasse. See annab meile veel ühe süsteemide klassifitseerimise võimaluse:
- Signatuurilised IDS/IPS tuvastavad liikluses teatud mustreid või jälgivad süsteemide seisundi muutusi, et määrata võrgurünnaku või nakatumise katse. Need ei anna praktiliselt valehäireid ega valepositiivseid tulemusi, kuid ei suuda tuvastada tundmatuid ohte;
- Anomaaliate tuvastavad IDS-id ei kasuta rünnakute signatuure. Need tuvastavad informatsioonisüsteemide normaalsest erineva käitumise (sealhulgas anomaaliad võrgu liikluses) ning võivad tuvastada isegi tundmatud rünnakud. Sellised süsteemid annavad üsna palju valehäireid ja võivad ebapiisava kasutamise korral kohaliku võrgu tööd täielikult peatada;
- Reeglite põhised IDS-id töötavad põhimõttel: if FAKT then TEGEVUS. Sisuliselt on need ekspert süsteemid teadmistebaasidega — faktide ja loogilise järeldamise reeglite kogum. Sellised lahendused on seadistamise osas ajamahukad ning nõuavad administraatorilt põhjalikku arusaamist võrgu toimimisest.
IDS-i arengulugu
Internet ja ettevõtte võrkude kiire areng algas 90ndatel, kuid arenenud võrguohutustehnolooge hakkasid spetsialistid uurima juba varem. 1986. aastal avaldasid Dorothy Denning ja Peter Neumann IDES (Intrusion Detection Expert System) mudeli, mis sai aluseks enamikule tänapäevastest sissetungi avastamise süsteemidest. See kasutas ekspert-süsteemi tuntud rünnakute määramiseks, samuti statistilisi meetodeid ja kasutajate/systemi profiile. IDES töötas Sun tööjaamadel, kontrollides võrguarhiive ja rakenduste andmeid. 1993. aastal ilmus NIDES (Next-generation Intrusion Detection Expert System) — uus generatsiooni sissetungi avastamise ekspert-süsteem.
Denning ja Neimani tööde alusel loodi 1988. aastal ekspert süsteem MIDAS (Multics intrusion detection and alerting system), mis kasutas P-BEST-i ja LISP-i. Samuti loodi toona statistilistel meetoditel põhinev süsteem Haystack. Veel üks statistiline anomaaliate tuvastaja W&S (Wisdom & Sense) töötati välja Los Alamoses asuvas Riiklikus Laboratooriumis aasta hiljem. Tööstus arenes kiirelt. Näiteks 1990. aastal rakendati süsteemis TIM (Time-based inductive machine) juba anomaaliate tuvastamist, kasutades induktiivset õppimist kasutaja järjestikustes mustrites (keel Common LISP). NSM (Network Security Monitor) tuvastas anomaaliaid, võrreldes juurdepääsu maatrikseid, samas kui ISOA (Information Security Officer’s Assistant) toetab erinevaid tuvastamisstrateegiaid: statistilised meetodid, profiliseerimine ja ekspert süsteem. AT&T Bell Labs loodud süsteem ComputerWatch kasutas kontrollimiseks nii statistilisi meetodeid kui ka reegleid, samas kui esimese jaotatud IDS prototüübi said California Ülikooli arendajad juba 1991. aastal — DIDS (Distributed intrusion detection system) oli samal ajal ka ekspert süsteem.
Alguses olid IDS identsed, kuid juba 1998. aastal vabastas Berkeley Lawrence'i riiklik laboratoorium Bro (2018. aastal muudeti selle nimi Zeekiks) — avatud lähtekoodiga süsteemi, mis kasutab oma reeglite keelt libpcap andmete analüüsimiseks. Samal novembril ilmus libpcap'i kasutav paketinuuskija APE, mis kuu aja pärast muudeti Snortiks ja hiljem muutus täielikuks IDS/IPS-ks. Samal ajal hakati turule tooma ka palju erinevaid propageeritud lahendusi.
Snort ja Suricata
Paljuski ettevõtted eelistavad tasuta avatud lähtekoodiga IDS/IPS lahendusi. Pikalt peeti standardlahenduseks juba mainitud Snorti, kuid praegu on selle asemele tõusnud Suricata süsteem. Tutvume nende eeliste ja puudustega pisut lähemalt. Snort kombineerib allkirjal põhineva meetodi eelised reaalajas anomaaliate avastamise võimalusega. Suricata võimaldab samuti kasutada muid meetodeid peale rünnakute tuvastamise allkirjade abil. Süsteem loodi Snorti projektist eraldunud arendajate rühma poolt ja toetab IPS funktsioone alates versioonist 1.4, samas kui Snorti võimalus sissetungide ennetamiseks ilmus hiljem.
Peamine erinevus kahe populaarse toote vahel on see, et Suricat on võimalik kasutada GPU-d IDS-režiimis, samuti on selle IPS funktsioonid arenenumad. Süsteem on algselt loodud mitme lõime jaoks, samas kui Snort on ühesuunaline toode. Oma pikaajalise ajaloo ja pärandkoodi tõttu ei kasuta see mitme protsessori / multicore riistvaraplatvorme optimaalselt, samas kui Suricata võimaldab tavapärastes arvutites töödelda liiklust kuni 10 Gbit/s. Kahte süsteemi saab pikaajaliselt võrrelda, kuid kuigi Suricata mootor töötab kiiremini, ei oma see mitte liiga laiaribaliste kanalite puhul olulist tähtsust.
Paigaldusvõimalused
IPS peab olema paigutatud nii, et süsteem saaks jälgida oma kontrollitavaid võrgu segmente. Kõige sagedamini on see eraldi arvuti, mille üks liides on ühendatud piiril olevate seadmetega ja "vaatab" nende kaudu kaitsetute avalike võrkude (Internet) poole. Teine IPS liides on ühendatud kaitstava segmendi sissepääsu juures, et kogu liiklus läheks süsteemi kaudu ja seda analüüsitaks. Keerukamates juhtumites võib kaitstavaid segmente olla mitu: näiteks ettevõtte võrkudes on sageli välja jagatud demilitariseeritud tsoon (DMZ) Interneti kaudu ligipääsetavate teenustega.
Selline IPS suudab ennetada portide skaneerimise või paroolide jõhkrünnakute katseid, e-posti serveri, veebiserveri või skriptide haavatavuste kasutamist ning muid väliseid rünnakute vorme. Kui kohaliku võrgu arvutid on nakatunud pahavara, ei luba IDS neil suhelda väliste botnet-serveritega. Tõsisemat kaitset sisemistele võrkudele võidakse vaja läheb keerulist seadistust ja mitteodavaid hallatavaid lüliteid, mis suudavad peegeldada liiklust IDS-interfeisi ühe porti jaoks.
Eriti sageli on ettevõtte võrgud hajutatud teenusetõkestamise (DDoS) rünnakute sihtmärgiks. Kuigi tänapäeva IDS-id suudavad sellega toime tulla, ei aita ülaltoodud kasutuselevõtu variant siin just palju. Süsteem tuvastab pahatahtliku tegevuse ja blokeerib parasiitvõrgu liikluse, kuid selleks peavad paketid läbima välise internetiühenduse ja jõudma tema võrgu liidesesse. Rünnaku intensiivsusest sõltuvalt ei pruugi andmeedastuskanal koormusega toime tulla ja ründajate eesmärk saavutatakse. Selliste juhtumite jaoks soovitame IDS-i juurutada virtuaalsel serveril, millel on eelnevalt tõhusam internetiühendus. VPS-i saab kohaliku võrgu külge ühendada VPN-i kaudu ning siis tuleb seadistada kaudu kogu väline liiklus. Siis, DDoS-rünnaku korral ei pea pakette edastama teenusepakkuja kaudu, need blokeeritakse välises sõlmes.
Valikuprobleem
Tasub tasuta süsteemide seas liidrit otsides olla ettevaatlik. IDS/IPS-i valik sõltub võrgu topoloogiast, vajalikest kaitsefunktsioonidest ning ka administraatori isiklikest eelistustest ja valmisolekust seadistustega vaeva näha. Snort'il on pikem ajalugu ja see on paremini dokumenteeritud, kuigi ka Suricata kohta on Internetis kerge teavet leida. Igal juhul nõuab süsteemi omandamine teatud pingutusi, mis tasuvad end lõpuks ära — kommertshardware ja riist- ja tarkvaraline IDS/IPS on üsna kallid ning ei mahu alati eelarvesse. Aega ei tasu kahetsema jääda, sest hea administraator tõstab alati oma kvalifikatsiooni tööandja arvelt. Sel juhul jäävad kõik võitjaks. Järgmises artiklis vaatleme mõningaid Suricata rakendamise variante ning võrdleme praktikas kaasaegsemat süsteemi klassikalise IDS/IPS Snort'iga.
Allikas: habr.com
