Snort või Suricata. Osa 3: kaitseme kontorivõrku

Uues eelnevas artiklis Me rääkisime, kuidas käivitada stabiilne versioon Suricata Ubuntu 18.04 LTS-is. IDS-i seadistamine ühel sõlmel ja tasuta reeglite komplektide ühendamine pole eriti keeruline. Täna uurime, kuidas kasutada virtuaalses serveris installitud Suricat ettevõtte võrgustiku kaitsmiseks levinumate rünnakute eest. Selleks on meil vaja VDS-i Linuxis, millel on kaks arvutusnüri. RAM-i maht sõltub koormusest: mõnele piisab ka 2 GB-st, kuid tõsisemate ülesannete jaoks võib olla vaja 4 või isegi 6. Virtuaalmasina eelised on katsetamisvõimalused: alustada saab minimaalsete seadistustega ja ressursse saab vajadusel suurendada.

foto: Reuters

• Snort või Suricata. Osa 1: valime tasuta IDS/IPS ettevõtte võrgu kaitseks
• Snort või Suricata. Osa 2: Suricata installimine ja esialgne seadistamine

Ühendame võrgud

IDS-i viimine virtuaalmasinale on esmajoones vajalik testideks. Kui te pole kunagi selliste lahendustega kokku puutunud, siis ei tasu kohe füüsilisele riistvarale tormata ja võrgu arhitektuuri muuta. Paremini katsetada süsteemi ohutult ja ilma liigsete kuludeta, et määrata kindlaks arvutusressursside vajadused. Oluline on mõista, et kogu ettevõtte liiklus tuleb siiski läbi viia ühe ainsa välise sõlme: kohaliku võrgu (või mitme võrgu) ühendamiseks VDS-iga, millel on installitud IDS Suricata, saab kasutada SoftEther — lihtsasti seadistatav platvormidevaheline VPN-server, mis tagab usaldusväärse krüpteerimise. Kontori internetiühendusel ei pruugi olla reaalset IP-aadressi, seetõttu on parem see üles seada VPS-ile. Ubuntu hoidlas valmis paketid puuduvad, tarkvara tuleb alla laadida kas projekti veebisaidilt, või välisest hoidlast teenusest Launchpad (kui usaldate seda):

sudo add-apt-repository ppa:paskal-07/softethervpn
sudo apt-get update

Saadaval olevate paketide loendit saab vaadata järgmise käsu abil:

apt-cache search softether

Meile on vajalik softether-vpnserver (server testkonfiguratsioonis on käivitatud VDS-is), samuti softether-vpncmd — käsurea tööriist selle seadistamiseks.

sudo apt-get install softether-vpnserver softether-vpncmd

Serveri seadistamiseks kasutatakse spetsiaalset käsurea tööriista:

sudo vpncmd

Me ei hakka rääkima seadistuse üksikasjadest: protseduur on üsna lihtne, see on hästi kirjeldatud paljudes avaldustes ja ei kuulu artikli teemasse. Lühidalt öeldes, peale vpncmd käivitamist tuleb valida punkt 1, et minna serveri halduskonsoli. Selleks tuleb sisestada localhost ja vajutada enter asemel hubi nime sisestamist. Konsolis määratakse administraatori parool käsuga serverpasswordset, eemaldatakse virtuaalne hub DEFAULT (käsk hubdelete) ja luuakse uus nimega Suricata_VPN, samuti määratakse selle parool (käsk hubcreate). Edasi tuleb minna uue hubi halduskonsolisse käsuga hub Suricata_VPN, et luua grupp ja kasutaja käsudega groupcreate ja usercreate. Kasutaja parool määratakse käsuga userpasswordset.

SoftEther toetab kahte režiimi liikluse edastamiseks: SecureNAT ja Local Bridge. Esimene on patenteeritud tehnoloogia virtuaalse privaatvõrgu rajamiseks oma NAT ja DHCP-ga. SecureNAT ei vaja TUN/TAP-i, samuti ei nõua Netfilteri või muu tulemüüri seadistamist. Suunamine ei mõjuta süsteemi tuuma ning kõik protsessid on virtualiseeritud ja töötavad igasugustes VPS/VDS-des olenemata kasutatavast hüperviisorist. See toob kaasa suurema protsessori koormuse ja kiiruslanguse võrreldes Local Bridge'i režiimiga, mis ühendab SoftEtheri virtuaalhubi füüsilise võrkaadapteri või TAP-seadmiga.

Seadistus on sellisel juhul keerulisem, kuna suunamine toimub tuuma tasemel Netfilteri abil. Meie VDS-id on rajatud Hyper-V-le, seega loome viimases etapis lokaalse silla ja aktiveerime TAP-seadme käsuga bridgecreate Suricate_VPN -device:suricate_vpn -tap:yes. Hubi halduskonsolist lahkudes näeme süsteemis uut võrgu liidest, millele pole veel määratud IP-d:

ifconfig

Edasi tuleb aktiveerida paketivahetamine liideste vahel (ip forward), kui see on mitteaktiivne:

sudo nano /etc/sysctl.conf

Eemaldage järgmise rea kommentaar:

net.ipv4.ip_forward = 1

Salvestame muutused failis, lahkume redigeerijast ja rakendame need järgmise käsuga:

sudo sysctl -p

Edasi tuleb määrata virtuaalvõrgule alamvõrk vale IP-dega (näiteks 10.0.10.0/24) ja määrata adress liidesele:

sudo ifconfig tap_suricata_vp 10.0.10.1/24

Siis on vaja kirjutada Netfilteri reeglid.

1. Vajadusel lubage sissetulevaid pakette kuulatavatele portidele (SoftEtheri kohandatud protokoll kasutab HTTPS-i ja porti 443)

sudo iptables -A INPUT -p tcp -m tcp --dport 443 -j ACCEPT
sudo iptables -A INPUT -p tcp -m tcp --dport 992 -j ACCEPT
sudo iptables -A INPUT -p tcp -m tcp --dport 1194 -j ACCEPT
sudo iptables -A INPUT -p udp -m udp --dport 1194 -j ACCEPT
sudo iptables -A INPUT -p tcp -m tcp --dport 5555 -j ACCEPT

2. Seame NAT-i alavõrgust 10.0.10.0/24 põhiserveri IP-le

sudo iptables -t nat -A POSTROUTING -s 10.0.10.0/24 -j SNAT --to-source 45.132.17.140

3. Lubame sissetulevad paketid alavõrgust 10.0.10.0/24

sudo iptables -A FORWARD -s 10.0.10.0/24 -j ACCEPT

4. Lubame sissetulevad paketid juba seadistatud ühendustele

sudo iptables -A FORWARD -p all -m state --state ESTABLISHED,RELATED -j ACCEPT

Jätame protsessi automatiseerimise süsteemi taaskäivitamisel alglaadimise skriptide kaudu lugejate kodutööd.

Kui soovite klientidele IP-aadresse automaatselt jagada, peate samuti seadistama mõne DHCP teenuse kohaliku silla jaoks. Sellega on serveri seadistamine lõpetatud ja võime liikuda kliendi seadistuste juurde. SoftEther toetab mitmeid protokolle, mille kasutamine sõltub kohaliku võrgu seadmete suutlikkusest.

netstat -ap |grep vpnserver

Kuna meie testimissuunaja töötab samuti Ubuntu all, installime sellele välisest repo'st paketid softether-vpnclient ja softether-vpncmd, et kasutada kohandatud protokolli. Peame kliendi käivitama:

sudo vpnclient start

Seadistamiseks kasutame utiliiti vpncmd, valides localhost masina, kus vpnclient on käimas. Kõik käsud antakse konsoolis: peame looma virtuaalse liidese (NicCreate) ja kasutajakonto (AccountCreate).

Mõningatel juhtudel tuleb määrata autentimise meetod käsudega AccountAnonymousSet, AccountPasswordSet, AccountCertSet ja AccountSecureCertSet. Kuna me ei kasuta DHCP-d, määratakse virtuaalse adapteri aadress käsitsi.

Lisaks peame lubama IP edastamise (parameeter net.ipv4.ip_forward=1 failis /etc/sysctl.conf) ja seadistama staatilised marsruudid. Vajadusel võib VDS-is koos Suricataga seadistada pordiedastust kohaliku võrgu teenuste kasutamiseks. Sellega võib võrgu ühendamine lugeda lõpetatuks.

Pakutav konfiguratsioon näeb välja umbes nii:

Seadistame Suricata

Uues eelnevas artiklis Me oleme rääkinud kahest IDS-i töörežiimist: NFQUEUE järjekorra kaudu (NFQ režiim) ja zero copy kaudu (AF_PACKET režiim). Viimane vajab kaht liidest, kuid pakub kõrgemat jõudlust — kasutame just seda. Parameeter on vaikimisi määratud failis /etc/default/suricata. Samuti peame redigeerima jaotist vars failis /etc/suricata/suricata.yaml, määrates seal virtuaalvõrgu koduseks.

IDS-i taaskäivitamiseks kasutame käsku:

systemctl restart suricata

Lahendus on valmis, nüüd võib tekkida vajadus kontrollida selle vastupidavust kurjategijate tegevusele.

Simuleerime rünnakuid

Välise IDS-i teenuse rakendamise stsenaariume võib olla mitu:

Kaitse DDoS-rünnakute eest (peamine eesmärk)

Sellise variandi rakendamine ettevõtte sisevõrgus on keeruline, kuna analüüsimiseks mõeldud paketid peavad jõudma süsteemi interneti suunatud liidesesse. Isegi kui IDS need blokeerib, võib kahjulik liiklus andmeedastuskanali üle koormata. Selle vältimiseks on vaja tellida VPS, millel on piisavalt võimas internetiühendus, mis suudab edastada kogu kohaliku võrgu liikluse ja kogu välise liikluse. Sageli on seda lihtsam ja odavam teha kui laiendada kontori ühendust. Alternatiivina tasub mainida spetsialiseerunud teenuseid DDoS-i kaitseks. Nende teenuste hind on võrreldav virtuaalserveri hinnaga, samas ei ole vajalik keeruline seadistus, kuid on ka puudusi — klient saab oma raha eest ainult DDoS-i kaitse, samas kui enda IDS-i saab seadistada kuidas iganes.

Kaitse teiste liikide väliste rünnakute eest

Suricata suudab hakkama saada erinevate haavatavuste ära kasutamise katsetega ettevõtte sisevõrgus, mis on kergesti juurdepääsetavad internetist (postiserver, veebiserver ja veebi rakendused jne). Tavaliselt installitakse IDS kohalikku võrku pärast kaitse seadmeid, kuid selle viimine väljas on samuti õigustatud.

Kaitse sisemiste kurjategijate eest

Hooliganid võivad proovida häkkida ettevõtte võrku, hoolimata süsteemiadministraatori pingutustest. Samuti võivad kohalikud häkkerid proovida teha lubamatuid toiminguid. Suricata aitab selliseid katsed blokeerida; selle parim koht on ettevõtte turvapiiride sees, koos halduslülitiga, mis suudab liiklust ühes porti peegeldada. Välimine IDS ei ole kahjutu — vähemalt suudab see tabada püüdeid, kus pahavara, mis asub kohalikus võrgus, püüab ühendust välise serveriga.

Alustame uue testimisrünnaku VPS-i loomisega ning seadistame kohaliku võrgu ruuteris Apache vaikimisi konfiguratsiooniga, millele suuname 80. portaali IDS-serverilt. Edasi simuleerime DDoS-rünnakut ründava sõlme kaudu. Selleks laadime GitHubist alla, kompileerime ja käivitame ründava sõlme peal väikese programmi xerxes (võib olla vajalik gcc paketi installimine):

git clone https://github.com/Soldie/xerxes-DDos-zanyarjamal-C.git
cd xerxes-DDos-zanyarjamal-C/
gcc xerxes.c -o xerxes
./xerxes 45.132.17.140 80

Tema töö tulemuseks oli järgmine:

Suricata blokeerib ründaja ning Apache vaikimisi leht avatakse, hoolimata meie improvisatsioonilisest rünnakust ja üsna nõrgast kontori (tegelikult kodusest) võrguühendusest. Tõsisemate ülesannete jaoks tasub kasutada Metasploit Framework. See on mõeldud sissetungimise testimiseks ning võimaldab simuleerida erinevaid rünnakuid. Paigaldusjuhised on on kergesti kättesaadav projekti veebilehel. Pärast installimist on vajalik uuendus:

sudo msfupdate

Katsumiseks käivitame msfconsole.

Kahjuks ei ole viimasest versioonist sul võimalik automaatset häkkimist, seega peavad eksploitid olema käsitsi valitud ja käivitatud käsu use abil. Kõigepealt tasub määrata ründatava masina avatud portsid, näiteks nmapi abil (meie juhul võib selle asendada netstat ründava sõlme kohal), seejärel leia ja kasuta sobivad Metasploit moodulid. 

Kindlasti on ka teisi IDS-i rünnakute kontrollimise vahendeid, sealhulgas veebiteenuseid. Huvi pärast saab stressitesti korraldada prooviversiooniga IP Stresser. Paljudel juhtudel on soovitatav paigaldada spetsiaalsed tööriistad ühe kohalikku võrku kuuluvasse arvutisse, et kontrollida iseseisvate pahatahtlike isikute käitumist. Võimalusi on palju ja neid tasub perioodiliselt rakendada mitte ainult katsepolügoonil, vaid ka tootmissüsteemides, kuid see on juba hoopis teine jutt.

Allikas: habr.com