Snort અથવા Suricata. ભાગ 1: તમારા કોર્પોરેટ નેટવર્કને સુરક્ષિત રાખવા માટે મફત IDS/IPS પસંદ કરવું

એક સમયે, સ્થાનિક નેટવર્કને સુરક્ષિત કરવા માટે એક સામાન્ય ફાયરવોલ અને એન્ટિ-વાયરસ પ્રોગ્રામ્સ પૂરતા હતા, પરંતુ આવા સેટ આધુનિક હેકર્સના હુમલાઓ અને તાજેતરમાં ફેલાયેલા માલવેર સામે પૂરતા પ્રમાણમાં અસરકારક નથી. સારી જૂની ફાયરવોલ માત્ર પેકેટ હેડરોનું વિશ્લેષણ કરે છે, તેને ઔપચારિક નિયમોના સમૂહ અનુસાર મંજૂરી અથવા અવરોધિત કરે છે. તે પેકેટની સામગ્રી વિશે કશું જ જાણતું નથી, અને તેથી હુમલાખોરોની દેખીતી રીતે કાયદેસરની ક્રિયાઓને ઓળખી શકતું નથી. એન્ટિવાયરસ પ્રોગ્રામ્સ હંમેશા માલવેરને પકડતા નથી, તેથી એડમિનિસ્ટ્રેટરને અસામાન્ય પ્રવૃત્તિ પર દેખરેખ રાખવા અને ચેપગ્રસ્ત યજમાનોને સમયસર અલગ કરવાનું કાર્ય સામનો કરવો પડે છે.

કંપનીના IT ઈન્ફ્રાસ્ટ્રક્ચરને સુરક્ષિત રાખવા માટે ઘણા અદ્યતન સાધનો ઉપલબ્ધ છે. આજે આપણે ઓપન સોર્સ ઇન્ટ્રુઝન ડિટેક્શન અને પ્રિવેન્શન સિસ્ટમ્સ વિશે વાત કરીશું, જે મોંઘા સાધનો અને સોફ્ટવેર લાયસન્સ ખરીદ્યા વિના અમલમાં મૂકી શકાય છે.

IDS/IPS વર્ગીકરણ

IDS (ઇનટ્રુઝન ડિટેક્શન સિસ્ટમ) એ નેટવર્ક પર અથવા વ્યક્તિગત કમ્પ્યુટર પર શંકાસ્પદ પ્રવૃત્તિઓની નોંધણી કરવા માટે રચાયેલ સિસ્ટમ છે. તે ઇવેન્ટ લોગ રાખે છે અને તેમના વિશેની માહિતી સુરક્ષા માટે જવાબદાર કર્મચારીને સૂચિત કરે છે. નીચેના ઘટકોને IDS ના ભાગ તરીકે ઓળખી શકાય છે:

• નેટવર્ક ટ્રાફિક, વિવિધ લોગ વગેરે જોવા માટે સેન્સર. 
• એક વિશ્લેષણ સબસિસ્ટમ જે પ્રાપ્ત ડેટામાં દૂષિત પ્રભાવના સંકેતોને ઓળખે છે;
• પ્રાથમિક ઘટનાઓ અને વિશ્લેષણ પરિણામોના સંચય માટે સંગ્રહ;
• મેનેજમેન્ટ કન્સોલ.

શરૂઆતમાં, IDS ને સ્થાન દ્વારા વર્ગીકૃત કરવામાં આવ્યા હતા: તેઓ વ્યક્તિગત નોડ્સ (હોસ્ટ-આધારિત અથવા હોસ્ટ ઇન્ટ્રુઝન ડિટેક્શન સિસ્ટમ - HIDS) અથવા સમગ્ર કોર્પોરેટ નેટવર્ક (નેટવર્ક-આધારિત અથવા નેટવર્ક ઇન્ટ્રુઝન ડિટેક્શન સિસ્ટમ - NIDS) ને સુરક્ષિત કરવા પર ધ્યાન કેન્દ્રિત કરી શકે છે. તે કહેવાતા ઉલ્લેખ વર્થ છે APIDS (એપ્લિકેશન પ્રોટોકોલ-આધારિત IDS): તેઓ ચોક્કસ હુમલાઓને ઓળખવા માટે એપ્લિકેશન-સ્તરના પ્રોટોકોલના મર્યાદિત સમૂહનું નિરીક્ષણ કરે છે અને નેટવર્ક પેકેટોનું ઊંડા વિશ્લેષણ કરતા નથી. આવા ઉત્પાદનો સામાન્ય રીતે પ્રોક્સી જેવા હોય છે અને તેનો ઉપયોગ ચોક્કસ સેવાઓને સુરક્ષિત કરવા માટે થાય છે: વેબ સર્વર અને વેબ એપ્લિકેશન્સ (ઉદાહરણ તરીકે, PHP માં લખાયેલ), ડેટાબેઝ સર્વર, વગેરે. આ વર્ગનું એક વિશિષ્ટ ઉદાહરણ અપાચે વેબ સર્વર માટે mod_security છે.

અમને સાર્વત્રિક NIDS માં વધુ રસ છે જે કોમ્યુનિકેશન પ્રોટોકોલ અને DPI (ડીપ પેકેટ ઇન્સ્પેક્શન) તકનીકોની વિશાળ શ્રેણીને સમર્થન આપે છે. તેઓ ડેટા લિંક લેયરથી શરૂ કરીને, પસાર થતા તમામ ટ્રાફિકનું નિરીક્ષણ કરે છે અને નેટવર્ક હુમલાઓની વિશાળ શ્રેણી તેમજ માહિતીની અનધિકૃત ઍક્સેસના પ્રયાસોને શોધી કાઢે છે. ઘણીવાર આવી સિસ્ટમોમાં વિતરિત આર્કિટેક્ચર હોય છે અને તે વિવિધ સક્રિય નેટવર્ક સાધનો સાથે ક્રિયાપ્રતિક્રિયા કરી શકે છે. નોંધ કરો કે ઘણા આધુનિક NIDS વર્ણસંકર છે અને ઘણા અભિગમોને જોડે છે. રૂપરેખાંકન અને સેટિંગ્સના આધારે, તેઓ વિવિધ સમસ્યાઓ હલ કરી શકે છે - ઉદાહરણ તરીકે, એક નોડ અથવા સમગ્ર નેટવર્કને સુરક્ષિત કરવું. વધુમાં, વર્કસ્ટેશનો માટે IDS ના કાર્યો એન્ટી-વાયરસ પેકેજો દ્વારા લેવામાં આવ્યા હતા, જે માહિતીની ચોરી કરવાના હેતુથી ટ્રોજનના ફેલાવાને કારણે, મલ્ટિફંક્શનલ ફાયરવોલમાં ફેરવાઈ ગયા હતા જે શંકાસ્પદ ટ્રાફિકને ઓળખવા અને અવરોધિત કરવાની સમસ્યાઓને પણ હલ કરે છે.

શરૂઆતમાં, IDS માત્ર માલવેર પ્રવૃત્તિ, પોર્ટ સ્કેનર્સ અથવા, કહો કે, કોર્પોરેટ સુરક્ષા નીતિઓના વપરાશકર્તા ઉલ્લંઘનને શોધી શકે છે. જ્યારે કોઈ ચોક્કસ ઘટના આવી, ત્યારે તેઓએ એડમિનિસ્ટ્રેટરને જાણ કરી, પરંતુ તે ઝડપથી સ્પષ્ટ થઈ ગયું કે ફક્ત હુમલાને ઓળખવું પૂરતું નથી - તેને અવરોધિત કરવાની જરૂર છે. તેથી IDS ને IPS (ઇનટ્રુઝન પ્રિવેન્શન સિસ્ટમ્સ) માં રૂપાંતરિત કરવામાં આવ્યું - ઇન્ટ્રુઝન પ્રિવેન્શન સિસ્ટમ્સ જે ફાયરવોલ સાથે ક્રિયાપ્રતિક્રિયા કરવામાં સક્ષમ છે.

તપાસ પદ્ધતિઓ

આધુનિક ઘુસણખોરી શોધ અને નિવારણ ઉકેલો દૂષિત પ્રવૃત્તિને ઓળખવા માટે વિવિધ પદ્ધતિઓનો ઉપયોગ કરે છે, જેને ત્રણ શ્રેણીઓમાં વિભાજિત કરી શકાય છે. આ અમને સિસ્ટમોનું વર્ગીકરણ કરવા માટેનો બીજો વિકલ્પ આપે છે:

• હસ્તાક્ષર-આધારિત IDS/IPS ટ્રાફિકમાં પેટર્ન શોધી કાઢે છે અથવા નેટવર્ક એટેક અથવા ચેપના પ્રયાસને નિર્ધારિત કરવા સિસ્ટમની સ્થિતિમાં ફેરફારોનું નિરીક્ષણ કરે છે. તેઓ વ્યવહારીક રીતે મિસફાયર અને ખોટા હકારાત્મકતા આપતા નથી, પરંતુ અજાણ્યા ધમકીઓને ઓળખવામાં સક્ષમ નથી;
• વિસંગતતા-શોધનાર IDS હુમલાની સહીઓનો ઉપયોગ કરતા નથી. તેઓ માહિતી પ્રણાલીના અસામાન્ય વર્તનને ઓળખે છે (નેટવર્ક ટ્રાફિકમાં વિસંગતતાઓ સહિત) અને અજાણ્યા હુમલાઓ પણ શોધી શકે છે. આવી સિસ્ટમો ઘણી બધી ખોટા હકારાત્મકતા આપે છે અને, જો ખોટી રીતે ઉપયોગ કરવામાં આવે તો, સ્થાનિક નેટવર્કની કામગીરીને લકવો કરે છે;
• નિયમ-આધારિત IDS સિદ્ધાંત પર કામ કરે છે: જો FACT હોય તો ACTION. સારમાં, આ જ્ઞાન પાયા સાથે નિષ્ણાત સિસ્ટમો છે - તથ્યો અને તાર્કિક અનુમાનના નિયમોનો સમૂહ. આવા સોલ્યુશન્સ સેટ કરવા માટે શ્રમ-સઘન હોય છે અને વ્યવસ્થાપકને નેટવર્કની વિગતવાર સમજ હોવી જરૂરી છે. 

IDS વિકાસનો ઇતિહાસ

ઈન્ટરનેટ અને કોર્પોરેટ નેટવર્કના ઝડપી વિકાસનો યુગ છેલ્લી સદીના 90 ના દાયકામાં શરૂ થયો હતો, પરંતુ નિષ્ણાતો થોડી અગાઉ અદ્યતન નેટવર્ક સુરક્ષા તકનીકોથી મૂંઝવણમાં હતા. 1986માં, ડોરોથી ડેનિંગ અને પીટર ન્યુમેને IDES (ઇનટ્રુઝન ડિટેક્શન એક્સપર્ટ સિસ્ટમ) મોડલ પ્રકાશિત કર્યું, જે મોટા ભાગની આધુનિક ઇન્ટ્રુઝન ડિટેક્શન સિસ્ટમ્સનો આધાર બન્યો. તે જાણીતા હુમલાના પ્રકારો, તેમજ આંકડાકીય પદ્ધતિઓ અને વપરાશકર્તા/સિસ્ટમ પ્રોફાઇલ્સને ઓળખવા માટે નિષ્ણાત સિસ્ટમનો ઉપયોગ કરે છે. IDES સન વર્કસ્ટેશનો પર ચાલી હતી, નેટવર્ક ટ્રાફિક અને એપ્લિકેશન ડેટાનું નિરીક્ષણ કરે છે. 1993માં, NIDES (નેક્સ્ટ જનરેશન ઈન્ટ્રુઝન ડિટેક્શન એક્સપર્ટ સિસ્ટમ) બહાર પાડવામાં આવી હતી - નવી પેઢીની ઈન્ટ્રુઝન ડિટેક્શન એક્સપર્ટ સિસ્ટમ.

ડેનિંગ અને ન્યુમેનના કામના આધારે, MIDAS (મલ્ટિક્સ ઇન્ટ્રુઝન ડિટેક્શન એન્ડ એલર્ટિંગ સિસ્ટમ) નિષ્ણાત સિસ્ટમ P-BEST અને LISP નો ઉપયોગ કરીને 1988 માં દેખાયા. તે જ સમયે, આંકડાકીય પદ્ધતિઓ પર આધારિત હેસ્ટેક્સ સિસ્ટમ બનાવવામાં આવી હતી. અન્ય આંકડાકીય વિસંગતતા શોધનાર, W&S (વિઝડમ એન્ડ સેન્સ), એક વર્ષ પછી લોસ એલામોસ નેશનલ લેબોરેટરીમાં વિકસાવવામાં આવ્યું હતું. ઉદ્યોગ ઝડપી ગતિએ વિકાસ કરી રહ્યો હતો. ઉદાહરણ તરીકે, 1990 માં, TIM (સમય-આધારિત ઇન્ડક્ટિવ મશીન) સિસ્ટમે અનુક્રમિક વપરાશકર્તા પેટર્ન (સામાન્ય LISP ભાષા) પર ઇન્ડક્ટિવ લર્નિંગનો ઉપયોગ કરીને વિસંગતતા શોધનો પહેલેથી જ અમલ કર્યો હતો. NSM (નેટવર્ક સિક્યુરિટી મોનિટર) એ વિસંગતતાઓ શોધવા માટે એક્સેસ મેટ્રિસિસની તુલના કરી, અને ISOA (માહિતી સુરક્ષા અધિકારીના સહાયક) એ વિવિધ શોધ વ્યૂહરચનાઓનું સમર્થન કર્યું: આંકડાકીય પદ્ધતિઓ, પ્રોફાઇલ તપાસ અને નિષ્ણાત સિસ્ટમ. AT&T બેલ લેબ્સમાં બનાવેલ કમ્પ્યુટર વોચ સિસ્ટમમાં ચકાસણી માટે આંકડાકીય પદ્ધતિઓ અને નિયમોનો ઉપયોગ કરવામાં આવ્યો હતો અને યુનિવર્સિટી ઓફ કેલિફોર્નિયા ડેવલપર્સને 1991માં વિતરિત IDSનો પ્રથમ પ્રોટોટાઇપ મળ્યો હતો - DIDS (ડિસ્ટ્રિબ્યુટેડ ઇન્ટ્રુઝન ડિટેક્શન સિસ્ટમ) પણ એક નિષ્ણાત સિસ્ટમ હતી.

શરૂઆતમાં, IDS માલિકીનું હતું, પરંતુ પહેલેથી જ 1998 માં, રાષ્ટ્રીય પ્રયોગશાળા. લોરેન્સ બર્કલેએ બ્રો (2018 માં ઝીકનું નામ બદલ્યું) રિલીઝ કર્યું, એક ઓપન સોર્સ સિસ્ટમ કે જે libpcap ડેટાનું વિશ્લેષણ કરવા માટે માલિકીની નિયમોની ભાષાનો ઉપયોગ કરે છે. તે જ વર્ષના નવેમ્બરમાં, લિબપકેપનો ઉપયોગ કરીને APE પેકેટ સ્નિફર દેખાયું, જેનું એક મહિના પછી નામ બદલીને સ્નોર્ટ રાખવામાં આવ્યું, અને પછીથી તે સંપૂર્ણ IDS/IPS બની ગયું. તે જ સમયે, અસંખ્ય માલિકીના ઉકેલો દેખાવા લાગ્યા.

Snort અને Suricata

ઘણી કંપનીઓ ફ્રી અને ઓપન સોર્સ IDS/IPS પસંદ કરે છે. લાંબા સમય સુધી, પહેલાથી જ ઉલ્લેખિત સ્નોર્ટને પ્રમાણભૂત ઉકેલ માનવામાં આવતું હતું, પરંતુ હવે તેને સુરીકાટા સિસ્ટમ દ્વારા બદલવામાં આવ્યું છે. ચાલો તેમના ફાયદા અને ગેરફાયદાને થોડી વધુ વિગતમાં જોઈએ. Snort વાસ્તવિક સમયમાં વિસંગતતાઓ શોધવાની ક્ષમતા સાથે સહી-આધારિત પદ્ધતિના ફાયદાઓને જોડે છે. Suricata તમને સહીઓ દ્વારા હુમલાઓને ઓળખવા ઉપરાંત અન્ય પદ્ધતિઓનો ઉપયોગ કરવાની પણ મંજૂરી આપે છે. સિસ્ટમ Snort પ્રોજેક્ટથી અલગ થયેલા વિકાસકર્તાઓના જૂથ દ્વારા બનાવવામાં આવી હતી અને આવૃત્તિ 1.4 થી શરૂ થતા IPS કાર્યોને સમર્થન આપે છે, અને Snort એ પછીથી ઘૂસણખોરી અટકાવવાની ક્ષમતા રજૂ કરી હતી.

બે લોકપ્રિય ઉત્પાદનો વચ્ચેનો મુખ્ય તફાવત એ છે કે આઈડીએસ મોડમાં GPU કમ્પ્યુટિંગનો ઉપયોગ કરવાની સુરીકાટાની ક્ષમતા, તેમજ વધુ અદ્યતન IPS. સિસ્ટમ શરૂઆતમાં મલ્ટિ-થ્રેડીંગ માટે બનાવવામાં આવી છે, જ્યારે સ્નોર્ટ એ સિંગલ-થ્રેડેડ પ્રોડક્ટ છે. તેના લાંબા ઈતિહાસ અને લેગસી કોડને લીધે, તે મલ્ટીપ્રોસેસર/મલ્ટીકોર હાર્ડવેર પ્લેટફોર્મનો શ્રેષ્ઠ ઉપયોગ કરતું નથી, જ્યારે Suricata નિયમિત સામાન્ય હેતુના કમ્પ્યુટર્સ પર 10 Gbps સુધીના ટ્રાફિકને હેન્ડલ કરી શકે છે. અમે બંને સિસ્ટમો વચ્ચેની સમાનતા અને તફાવતો વિશે લાંબા સમય સુધી વાત કરી શકીએ છીએ, પરંતુ જો કે Suricata એન્જિન વધુ ઝડપથી કામ કરે છે, ખૂબ પહોળી ચેનલો ન હોવાને કારણે આ મૂળભૂત મહત્વ નથી.

જમાવટ વિકલ્પો

IPS એવી રીતે મૂકવો જોઈએ કે સિસ્ટમ તેના નિયંત્રણ હેઠળના નેટવર્ક વિભાગોનું નિરીક્ષણ કરી શકે. મોટેભાગે, આ એક સમર્પિત કમ્પ્યુટર છે, જેમાંથી એક ઇન્ટરફેસ ધાર ઉપકરણો પછી જોડાયેલ છે અને તેમના દ્વારા અસુરક્ષિત જાહેર નેટવર્ક્સ (ઇન્ટરનેટ) માં "દેખાવે છે". અન્ય IPS ઇન્ટરફેસ સુરક્ષિત સેગમેન્ટના ઇનપુટ સાથે જોડાયેલ છે જેથી કરીને તમામ ટ્રાફિક સિસ્ટમમાંથી પસાર થાય અને તેનું વિશ્લેષણ કરવામાં આવે. વધુ જટિલ કેસોમાં, ઘણા સંરક્ષિત સેગમેન્ટ્સ હોઈ શકે છે: ઉદાહરણ તરીકે, કોર્પોરેટ નેટવર્ક્સમાં ડિમિલિટરાઇઝ્ડ ઝોન (DMZ) ઘણીવાર ઇન્ટરનેટથી સુલભ સેવાઓ સાથે ફાળવવામાં આવે છે.

આવા IPS પોર્ટ સ્કેનિંગ અથવા પાસવર્ડ બ્રુટ ફોર્સ એટેક, મેલ સર્વર, વેબ સર્વર અથવા સ્ક્રિપ્ટ્સમાં નબળાઈઓનું શોષણ તેમજ અન્ય પ્રકારના બાહ્ય હુમલાઓને અટકાવી શકે છે. જો સ્થાનિક નેટવર્ક પરના કમ્પ્યુટર્સ માલવેરથી ચેપગ્રસ્ત છે, તો IDS તેમને બહાર સ્થિત બોટનેટ સર્વર્સનો સંપર્ક કરવાની મંજૂરી આપશે નહીં. આંતરિક નેટવર્કની વધુ ગંભીર સુરક્ષા માટે, પોર્ટોમાંથી એક સાથે જોડાયેલા IDS ઈન્ટરફેસ માટે ટ્રાફિકને મિરર કરવા માટે સક્ષમ ડિસ્ટ્રિબ્યુટેડ સિસ્ટમ અને ખર્ચાળ મેનેજ્ડ સ્વીચો સાથેની જટિલ ગોઠવણીની જરૂર પડશે.

કોર્પોરેટ નેટવર્ક્સ ઘણીવાર ડિસ્ટ્રિબ્યુટેડ ડિનાયલ ઑફ સર્વિસ (DDoS) હુમલાઓને આધીન હોય છે. જો કે આધુનિક IDS તેમની સાથે વ્યવહાર કરી શકે છે, ઉપરોક્ત ડિપ્લોયમેન્ટ વિકલ્પ અહીં મદદ કરે તેવી શક્યતા નથી. સિસ્ટમ દૂષિત પ્રવૃત્તિને ઓળખશે અને નકલી ટ્રાફિકને અવરોધિત કરશે, પરંતુ આ કરવા માટે, પેકેટોએ બાહ્ય ઇન્ટરનેટ કનેક્શનમાંથી પસાર થવું જોઈએ અને તેના નેટવર્ક ઇન્ટરફેસ સુધી પહોંચવું જોઈએ. હુમલાની તીવ્રતાના આધારે, ડેટા ટ્રાન્સમિશન ચેનલ લોડનો સામનો કરી શકશે નહીં અને હુમલાખોરોનું લક્ષ્ય પ્રાપ્ત થશે. આવા કિસ્સાઓ માટે, અમે દેખીતી રીતે વધુ શક્તિશાળી ઈન્ટરનેટ કનેક્શન સાથે વર્ચ્યુઅલ સર્વર પર IDS જમાવવાની ભલામણ કરીએ છીએ. તમે VPS ને VPN દ્વારા સ્થાનિક નેટવર્ક સાથે કનેક્ટ કરી શકો છો, અને પછી તમારે તેના દ્વારા તમામ બાહ્ય ટ્રાફિકના રૂટીંગને ગોઠવવાની જરૂર પડશે. પછી, DDoS હુમલાની ઘટનામાં, તમારે પ્રદાતાને કનેક્શન દ્વારા પેકેટો મોકલવાની જરૂર રહેશે નહીં; તે બાહ્ય નોડ પર અવરોધિત કરવામાં આવશે.

પસંદગીની સમસ્યા

મુક્ત પ્રણાલીઓમાં નેતાને ઓળખવું ખૂબ મુશ્કેલ છે. IDS/IPS ની પસંદગી નેટવર્ક ટોપોલોજી, જરૂરી સુરક્ષા કાર્યો, તેમજ એડમિનિસ્ટ્રેટરની વ્યક્તિગત પસંદગીઓ અને સેટિંગ્સ સાથે ટિંકર કરવાની તેમની ઇચ્છા દ્વારા નક્કી કરવામાં આવે છે. Snort લાંબો ઇતિહાસ ધરાવે છે અને તે વધુ સારી રીતે દસ્તાવેજીકૃત થયેલ છે, જોકે Suricata પરની માહિતી ઓનલાઈન શોધવાનું પણ સરળ છે. કોઈ પણ સંજોગોમાં, સિસ્ટમમાં નિપુણતા મેળવવા માટે તમારે કેટલાક પ્રયત્નો કરવા પડશે, જે અંતે ચૂકવણી કરશે - વ્યાપારી હાર્ડવેર અને હાર્ડવેર-સોફ્ટવેર IDS/IPS ખૂબ ખર્ચાળ છે અને હંમેશા બજેટમાં ફિટ થતા નથી. સમય બગાડવાનો અફસોસ કરવાનો કોઈ અર્થ નથી, કારણ કે એક સારો એડમિન હંમેશા નોકરીદાતાના ભોગે તેની કુશળતા સુધારે છે. આ સ્થિતિમાં, દરેક જીતે છે. આગલા લેખમાં આપણે કેટલાક Suricata ડિપ્લોયમેન્ટ વિકલ્પો જોઈશું અને વ્યવહારમાં ક્લાસિક IDS/IPS Snort સાથે વધુ આધુનિક સિસ્ટમની તુલના કરીશું.

સોર્સ: www.habr.com