स्नॉर्ट या सुरीकाटा। भाग 1: अपने कॉर्पोरेट नेटवर्क की सुरक्षा के लिए नि:शुल्क आईडीएस/आईपीएस चुनना

एक समय, एक सामान्य फ़ायरवॉल और एंटी-वायरस प्रोग्राम स्थानीय नेटवर्क की सुरक्षा के लिए पर्याप्त थे, लेकिन ऐसा सेट अब आधुनिक हैकर्स और हाल ही में फैले मैलवेयर के हमलों के खिलाफ पर्याप्त प्रभावी नहीं है। एक अच्छा पुराना फ़ायरवॉल केवल पैकेट हेडर का विश्लेषण करता है, औपचारिक नियमों के एक सेट के अनुसार उन्हें अनुमति देता है या अवरुद्ध करता है। यह पैकेटों की सामग्री के बारे में कुछ नहीं जानता है, और इसलिए हमलावरों के उचित प्रतीत होने वाले कार्यों को नहीं पहचान सकता है। एंटीवायरस प्रोग्राम हमेशा मैलवेयर को नहीं पकड़ते हैं, इसलिए व्यवस्थापक को असामान्य गतिविधि की निगरानी करने और संक्रमित होस्ट को समय पर अलग करने के कार्य का सामना करना पड़ता है।

किसी कंपनी के आईटी बुनियादी ढांचे की सुरक्षा के लिए कई उन्नत उपकरण उपलब्ध हैं। आज हम ओपन सोर्स घुसपैठ का पता लगाने और रोकथाम प्रणालियों के बारे में बात करेंगे, जिन्हें महंगे उपकरण और सॉफ्टवेयर लाइसेंस खरीदे बिना लागू किया जा सकता है।

आईडीएस/आईपीएस वर्गीकरण

आईडीएस (इंट्रूज़न डिटेक्शन सिस्टम) एक सिस्टम है जिसे नेटवर्क या व्यक्तिगत कंप्यूटर पर संदिग्ध गतिविधियों को पंजीकृत करने के लिए डिज़ाइन किया गया है। यह इवेंट लॉग रखता है और उनके बारे में सूचना सुरक्षा के लिए जिम्मेदार कर्मचारी को सूचित करता है। निम्नलिखित तत्वों को आईडीएस के भाग के रूप में प्रतिष्ठित किया जा सकता है:

• नेटवर्क ट्रैफ़िक, विभिन्न लॉग आदि देखने के लिए सेंसर। 
• एक विश्लेषण उपप्रणाली जो प्राप्त डेटा में दुर्भावनापूर्ण प्रभाव के संकेतों की पहचान करती है;
• प्राथमिक घटनाओं और विश्लेषण परिणामों के संचय के लिए भंडारण;
• प्रबंधन कंसोल.

प्रारंभ में, आईडीएस को स्थान के आधार पर वर्गीकृत किया गया था: उन्हें व्यक्तिगत नोड्स (होस्ट-आधारित या होस्ट इंट्रूज़न डिटेक्शन सिस्टम - एचआईडीएस) की सुरक्षा या संपूर्ण कॉर्पोरेट नेटवर्क (नेटवर्क-आधारित या नेटवर्क इंट्रूज़न डिटेक्शन सिस्टम - एनआईडीएस) की सुरक्षा पर ध्यान केंद्रित किया जा सकता था। यह तथाकथित का उल्लेख करने योग्य है एपीआईडीएस (एप्लिकेशन प्रोटोकॉल-आधारित आईडीएस): वे विशिष्ट हमलों की पहचान करने के लिए एप्लिकेशन-स्तरीय प्रोटोकॉल के सीमित सेट की निगरानी करते हैं और नेटवर्क पैकेट का गहन विश्लेषण नहीं करते हैं। ऐसे उत्पाद आमतौर पर प्रॉक्सी से मिलते जुलते हैं और विशिष्ट सेवाओं की सुरक्षा के लिए उपयोग किए जाते हैं: एक वेब सर्वर और वेब एप्लिकेशन (उदाहरण के लिए, PHP में लिखा गया), एक डेटाबेस सर्वर, आदि। इस वर्ग का एक विशिष्ट उदाहरण अपाचे वेब सर्वर के लिए mod_security है।

हम सार्वभौमिक एनआईडीएस में अधिक रुचि रखते हैं जो संचार प्रोटोकॉल और डीपीआई (डीप पैकेट निरीक्षण) प्रौद्योगिकियों की एक विस्तृत श्रृंखला का समर्थन करते हैं। वे डेटा लिंक परत से शुरू करके सभी गुजरने वाले ट्रैफ़िक की निगरानी करते हैं, और नेटवर्क हमलों की एक विस्तृत श्रृंखला का पता लगाते हैं, साथ ही जानकारी तक अनधिकृत पहुंच के प्रयासों का भी पता लगाते हैं। अक्सर ऐसी प्रणालियों में एक वितरित वास्तुकला होती है और वे विभिन्न सक्रिय नेटवर्क उपकरणों के साथ बातचीत कर सकते हैं। ध्यान दें कि कई आधुनिक एनआईडीएस मिश्रित हैं और कई दृष्टिकोणों को जोड़ते हैं। कॉन्फ़िगरेशन और सेटिंग्स के आधार पर, वे विभिन्न समस्याओं को हल कर सकते हैं - उदाहरण के लिए, एक नोड या पूरे नेटवर्क की सुरक्षा करना। इसके अलावा, वर्कस्टेशन के लिए आईडीएस के कार्यों को एंटी-वायरस पैकेजों द्वारा ले लिया गया, जो जानकारी चुराने के उद्देश्य से ट्रोजन के प्रसार के कारण, बहुक्रियाशील फ़ायरवॉल में बदल गए, जो संदिग्ध ट्रैफ़िक को पहचानने और अवरुद्ध करने की समस्याओं को भी हल करते हैं।

प्रारंभ में, आईडीएस केवल मैलवेयर गतिविधि, पोर्ट स्कैनर, या कहें, कॉर्पोरेट सुरक्षा नीतियों के उपयोगकर्ता उल्लंघन का पता लगा सकता था। जब एक निश्चित घटना घटी, तो उन्होंने प्रशासक को सूचित किया, लेकिन यह तुरंत स्पष्ट हो गया कि केवल हमले को पहचानना पर्याप्त नहीं था - इसे अवरुद्ध करने की आवश्यकता थी। इसलिए आईडीएस को आईपीएस (घुसपैठ रोकथाम प्रणाली) में बदल दिया गया - फ़ायरवॉल के साथ बातचीत करने में सक्षम घुसपैठ रोकथाम प्रणाली।

पता लगाने के तरीके

आधुनिक घुसपैठ का पता लगाने और रोकथाम समाधान दुर्भावनापूर्ण गतिविधि की पहचान करने के लिए विभिन्न तरीकों का उपयोग करते हैं, जिन्हें तीन श्रेणियों में विभाजित किया जा सकता है। यह हमें सिस्टम को वर्गीकृत करने का एक और विकल्प देता है:

• हस्ताक्षर-आधारित आईडीएस/आईपीएस ट्रैफ़िक में पैटर्न का पता लगाता है या नेटवर्क हमले या संक्रमण के प्रयास को निर्धारित करने के लिए सिस्टम की स्थिति में परिवर्तनों की निगरानी करता है। वे व्यावहारिक रूप से मिसफायर और झूठी सकारात्मकता नहीं देते हैं, लेकिन अज्ञात खतरों की पहचान करने में सक्षम नहीं हैं;
• विसंगति का पता लगाने वाले आईडीएस हमले के हस्ताक्षर का उपयोग नहीं करते हैं। वे सूचना प्रणालियों के असामान्य व्यवहार (नेटवर्क ट्रैफ़िक में विसंगतियों सहित) को पहचानते हैं और अज्ञात हमलों का भी पता लगा सकते हैं। ऐसी प्रणालियाँ बहुत सारी झूठी सकारात्मकताएँ देती हैं और, यदि गलत तरीके से उपयोग की जाती हैं, तो स्थानीय नेटवर्क के संचालन को पंगु बना देती हैं;
• नियम-आधारित आईडीएस सिद्धांत पर काम करते हैं: यदि तथ्य तो कार्रवाई। संक्षेप में, ये ज्ञान के आधार वाली विशेषज्ञ प्रणालियाँ हैं - तथ्यों का एक समूह और तार्किक अनुमान के नियम। ऐसे समाधानों को स्थापित करने में काफी मेहनत लगती है और इसके लिए प्रशासक को नेटवर्क की विस्तृत समझ की आवश्यकता होती है। 

आईडीएस विकास का इतिहास

इंटरनेट और कॉर्पोरेट नेटवर्क के तेजी से विकास का युग पिछली सदी के 90 के दशक में शुरू हुआ था, लेकिन विशेषज्ञ कुछ समय पहले ही उन्नत नेटवर्क सुरक्षा प्रौद्योगिकियों से हैरान थे। 1986 में, डोरोथी डेनिंग और पीटर न्यूमैन ने आईडीईएस (घुसपैठ पहचान विशेषज्ञ प्रणाली) मॉडल प्रकाशित किया, जो अधिकांश आधुनिक घुसपैठ पहचान प्रणालियों का आधार बन गया। इसने ज्ञात हमले के प्रकारों के साथ-साथ सांख्यिकीय तरीकों और उपयोगकर्ता/सिस्टम प्रोफाइल की पहचान करने के लिए एक विशेषज्ञ प्रणाली का उपयोग किया। आईडीईएस सन वर्कस्टेशन पर चलता था, नेटवर्क ट्रैफिक और एप्लिकेशन डेटा का निरीक्षण करता था। 1993 में, NIDES (नेक्स्ट-जेनरेशन इंट्रूज़न डिटेक्शन एक्सपर्ट सिस्टम) जारी किया गया - एक नई पीढ़ी की घुसपैठ डिटेक्शन विशेषज्ञ प्रणाली।

डेनिंग और न्यूमैन के काम के आधार पर, P-BEST और LISP का उपयोग करने वाली MIDAS (मल्टिक्स इंट्रूजन डिटेक्शन एंड अलर्टिंग सिस्टम) विशेषज्ञ प्रणाली 1988 में सामने आई। उसी समय, सांख्यिकीय विधियों पर आधारित हेस्टैक प्रणाली बनाई गई। एक अन्य सांख्यिकीय विसंगति डिटेक्टर, डब्ल्यू एंड एस (विजडम एंड सेंस), एक साल बाद लॉस एलामोस नेशनल लेबोरेटरी में विकसित किया गया था। उद्योग तीव्र गति से विकसित हो रहा था। उदाहरण के लिए, 1990 में, TIM (समय-आधारित आगमनात्मक मशीन) प्रणाली ने अनुक्रमिक उपयोगकर्ता पैटर्न (सामान्य LISP भाषा) पर आगमनात्मक शिक्षण का उपयोग करके विसंगति का पता लगाना पहले ही लागू कर दिया था। एनएसएम (नेटवर्क सिक्योरिटी मॉनिटर) ने विसंगतियों का पता लगाने के लिए एक्सेस मैट्रिक्स की तुलना की, और आईएसओए (सूचना सुरक्षा अधिकारी के सहायक) ने विभिन्न पहचान रणनीतियों का समर्थन किया: सांख्यिकीय तरीके, प्रोफ़ाइल जांच और विशेषज्ञ प्रणाली। एटी एंड टी बेल लैब्स में बनाए गए कंप्यूटरवॉच सिस्टम ने सत्यापन के लिए सांख्यिकीय तरीकों और नियमों का उपयोग किया, और कैलिफोर्निया विश्वविद्यालय के डेवलपर्स को 1991 में वितरित आईडीएस का पहला प्रोटोटाइप प्राप्त हुआ - डीआईडीएस (डिस्ट्रिब्यूटेड इंट्रूज़न डिटेक्शन सिस्टम) भी एक विशेषज्ञ प्रणाली थी।

सबसे पहले, आईडीएस मालिकाना थे, लेकिन पहले से ही 1998 में, राष्ट्रीय प्रयोगशाला। लॉरेंस बर्कले ने ब्रो (2018 में इसका नाम बदलकर ज़ीक) जारी किया, जो एक ओपन सोर्स सिस्टम है जो लिबकैप डेटा का विश्लेषण करने के लिए एक मालिकाना नियम भाषा का उपयोग करता है। उसी वर्ष नवंबर में, libpcap का उपयोग करने वाला APE पैकेट स्निफ़र सामने आया, जिसे एक महीने बाद नाम बदलकर Snort कर दिया गया, और बाद में पूर्ण विकसित IDS/IPS बन गया। इसी समय, कई मालिकाना समाधान सामने आने लगे।

स्नॉर्ट और सुरीकाटा

कई कंपनियाँ मुफ़्त और मुक्त स्रोत आईडीएस/आईपीएस पसंद करती हैं। लंबे समय तक, पहले से उल्लिखित स्नॉर्ट को मानक समाधान माना जाता था, लेकिन अब इसे सुरिकाटा प्रणाली द्वारा प्रतिस्थापित कर दिया गया है। आइए इनके फायदे और नुकसान पर थोड़ा और विस्तार से नजर डालें। स्नॉर्ट वास्तविक समय में विसंगतियों का पता लगाने की क्षमता के साथ हस्ताक्षर-आधारित पद्धति के लाभों को जोड़ता है। सुरीकाटा आपको हस्ताक्षरों द्वारा हमलों को पहचानने के अलावा अन्य तरीकों का उपयोग करने की भी अनुमति देता है। सिस्टम स्नॉर्ट परियोजना से अलग डेवलपर्स के एक समूह द्वारा बनाया गया था और संस्करण 1.4 से शुरू होने वाले आईपीएस कार्यों का समर्थन करता है, और स्नॉर्ट ने बाद में घुसपैठ को रोकने की क्षमता पेश की।

दो लोकप्रिय उत्पादों के बीच मुख्य अंतर सुरीकाटा की आईडीएस मोड में जीपीयू कंप्यूटिंग का उपयोग करने की क्षमता, साथ ही अधिक उन्नत आईपीएस है। सिस्टम प्रारंभ में मल्टी-थ्रेडिंग के लिए डिज़ाइन किया गया है, जबकि स्नॉर्ट एक सिंगल-थ्रेडेड उत्पाद है। अपने लंबे इतिहास और विरासत कोड के कारण, यह मल्टीप्रोसेसर/मल्टीकोर हार्डवेयर प्लेटफ़ॉर्म का इष्टतम उपयोग नहीं करता है, जबकि सुरीकाटा नियमित सामान्य प्रयोजन कंप्यूटरों पर 10 जीबीपीएस तक ट्रैफ़िक संभाल सकता है। हम दो प्रणालियों के बीच समानता और अंतर के बारे में लंबे समय तक बात कर सकते हैं, लेकिन हालांकि सुरीकाटा इंजन तेजी से काम करता है, बहुत व्यापक चैनलों के लिए यह मौलिक महत्व का नहीं है।

परिनियोजन विकल्प

आईपीएस को इस तरह से रखा जाना चाहिए कि सिस्टम अपने नियंत्रण में नेटवर्क सेगमेंट की निगरानी कर सके। अक्सर, यह एक समर्पित कंप्यूटर होता है, जिसका एक इंटरफ़ेस किनारे के उपकरणों से जुड़ा होता है और उनके माध्यम से असुरक्षित सार्वजनिक नेटवर्क (इंटरनेट) में "देखता" है। एक अन्य आईपीएस इंटरफ़ेस संरक्षित खंड के इनपुट से जुड़ा है ताकि सभी ट्रैफ़िक सिस्टम से गुजरें और उनका विश्लेषण किया जा सके। अधिक जटिल मामलों में, कई संरक्षित खंड हो सकते हैं: उदाहरण के लिए, कॉर्पोरेट नेटवर्क में एक विसैन्यीकृत क्षेत्र (डीएमजेड) अक्सर इंटरनेट से पहुंच योग्य सेवाओं के साथ आवंटित किया जाता है।

ऐसा आईपीएस पोर्ट स्कैनिंग या पासवर्ड ब्रूट फोर्स हमलों, मेल सर्वर, वेब सर्वर या स्क्रिप्ट में कमजोरियों के शोषण के साथ-साथ अन्य प्रकार के बाहरी हमलों को रोक सकता है। यदि स्थानीय नेटवर्क पर कंप्यूटर मैलवेयर से संक्रमित हैं, तो आईडीएस उन्हें बाहर स्थित बॉटनेट सर्वर से संपर्क करने की अनुमति नहीं देगा। आंतरिक नेटवर्क की अधिक गंभीर सुरक्षा के लिए, एक वितरित प्रणाली के साथ एक जटिल कॉन्फ़िगरेशन और किसी एक पोर्ट से जुड़े आईडीएस इंटरफ़ेस के लिए ट्रैफ़िक को प्रतिबिंबित करने में सक्षम महंगे प्रबंधित स्विच की सबसे अधिक आवश्यकता होगी।

कॉर्पोरेट नेटवर्क अक्सर वितरित सेवा से इनकार (डीडीओएस) हमलों के अधीन होते हैं। हालाँकि आधुनिक आईडीएस उनसे निपट सकते हैं, लेकिन उपरोक्त तैनाती विकल्प से यहां मदद मिलने की संभावना नहीं है। सिस्टम दुर्भावनापूर्ण गतिविधि को पहचान लेगा और नकली ट्रैफ़िक को रोक देगा, लेकिन ऐसा करने के लिए, पैकेट को बाहरी इंटरनेट कनेक्शन से गुजरना होगा और उसके नेटवर्क इंटरफ़ेस तक पहुंचना होगा। हमले की तीव्रता के आधार पर, डेटा ट्रांसमिशन चैनल लोड का सामना करने में सक्षम नहीं हो सकता है और हमलावरों का लक्ष्य हासिल हो जाएगा। ऐसे मामलों के लिए, हम स्पष्ट रूप से अधिक शक्तिशाली इंटरनेट कनेक्शन वाले वर्चुअल सर्वर पर आईडीएस तैनात करने की सलाह देते हैं। आप वीपीएन के माध्यम से वीपीएस को स्थानीय नेटवर्क से कनेक्ट कर सकते हैं, और फिर आपको इसके माध्यम से सभी बाहरी ट्रैफ़िक के रूटिंग को कॉन्फ़िगर करने की आवश्यकता होगी। फिर, DDoS हमले की स्थिति में, आपको प्रदाता को कनेक्शन के माध्यम से पैकेट भेजने की आवश्यकता नहीं होगी; उन्हें बाहरी नोड पर अवरुद्ध कर दिया जाएगा।

पसंद की समस्या

मुक्त प्रणालियों के बीच किसी नेता की पहचान करना बहुत कठिन है। आईडीएस/आईपीएस का चुनाव नेटवर्क टोपोलॉजी, आवश्यक सुरक्षा कार्यों के साथ-साथ प्रशासक की व्यक्तिगत प्राथमिकताओं और सेटिंग्स के साथ छेड़छाड़ करने की उसकी इच्छा द्वारा निर्धारित किया जाता है। स्नॉर्ट का एक लंबा इतिहास है और इसे बेहतर तरीके से प्रलेखित किया गया है, हालांकि सुरीकाटा के बारे में जानकारी ऑनलाइन ढूंढना भी आसान है। किसी भी स्थिति में, सिस्टम में महारत हासिल करने के लिए आपको कुछ प्रयास करने होंगे, जो अंततः लाभदायक होंगे - वाणिज्यिक हार्डवेयर और हार्डवेयर-सॉफ़्टवेयर आईडीएस/आईपीएस काफी महंगे हैं और हमेशा बजट में फिट नहीं होते हैं। समय बर्बाद करने पर पछताने का कोई मतलब नहीं है, क्योंकि एक अच्छा व्यवस्थापक हमेशा नियोक्ता की कीमत पर अपने कौशल में सुधार करता है। इस स्थिति में हर कोई जीतता है। अगले लेख में हम कुछ सुरीकाटा परिनियोजन विकल्पों को देखेंगे और व्यवहार में क्लासिक आईडीएस/आईपीएस स्नॉर्ट के साथ अधिक आधुनिक प्रणाली की तुलना करेंगे।

स्रोत: www.habr.com