🥇स्नॉर्ट या सुरीकाटा। भाग 2: सुरीकाटा की स्थापना और प्रारंभिक सेटअप

आँकड़ों के अनुसार, नेटवर्क ट्रैफ़िक की मात्रा हर साल लगभग 50% बढ़ जाती है। इससे उपकरण पर भार बढ़ जाता है और विशेष रूप से, आईडीएस/आईपीएस की प्रदर्शन आवश्यकताएं बढ़ जाती हैं। आप महंगे विशिष्ट हार्डवेयर खरीद सकते हैं, लेकिन एक सस्ता विकल्प भी है - ओपन सोर्स सिस्टम में से एक की शुरूआत। कई नौसिखिए प्रशासकों को मुफ्त आईपीएस स्थापित और कॉन्फ़िगर करना मुश्किल लगता है। सुरीकाटा के मामले में, यह पूरी तरह से सच नहीं है - आप इसे इंस्टॉल कर सकते हैं और कुछ ही मिनटों में मुफ्त नियमों के एक सेट के साथ विशिष्ट हमलों को दोहराना शुरू कर सकते हैं।

स्नॉर्ट या सुरीकाटा। भाग 1: अपने कॉर्पोरेट नेटवर्क की सुरक्षा के लिए नि:शुल्क आईडीएस/आईपीएस चुनना

हमें दूसरे खुले आईपीएस की आवश्यकता क्यों है?

लंबे समय से मानक माना जाने वाला स्नॉर्ट नब्बे के दशक के उत्तरार्ध से विकास में रहा है, इसलिए यह मूल रूप से सिंगल-थ्रेडेड था। इन वर्षों में, इसमें सभी आधुनिक सुविधाएँ दिखाई दी हैं, जैसे IPv6 समर्थन, एप्लिकेशन-स्तरीय प्रोटोकॉल का विश्लेषण करने की क्षमता, या एक सार्वभौमिक डेटा एक्सेस मॉड्यूल।

कोर स्नॉर्ट 2.X इंजन ने कई कोर के साथ काम करना सीख लिया है, लेकिन सिंगल-थ्रेडेड बना हुआ है और इसलिए आधुनिक हार्डवेयर प्लेटफ़ॉर्म का बेहतर लाभ नहीं उठा सकता है।

समस्या को सिस्टम के तीसरे संस्करण में हल किया गया था, लेकिन इसे तैयार करने में इतना समय लग गया कि स्क्रैच से लिखा गया सुरीकाटा बाजार में आने में कामयाब रहा। 2009 में, इसे स्नॉर्ट के बहु-थ्रेडेड विकल्प के रूप में विकसित किया जाना शुरू हुआ, जिसमें बॉक्स से बाहर आईपीएस फ़ंक्शन हैं। कोड GPLv2 लाइसेंस के तहत वितरित किया जाता है, लेकिन परियोजना के वित्तीय भागीदारों के पास इंजन के बंद संस्करण तक पहुंच है। सिस्टम के पहले संस्करणों में कुछ स्केलेबिलिटी समस्याएं उत्पन्न हुईं, लेकिन उन्हें तुरंत हल कर लिया गया।

सुरिका क्यों?

सुरीकाटा में कई मॉड्यूल हैं (स्नॉर्ट के समान): कैप्चर, कैप्चर, डिकोड, डिटेक्शन और आउटपुट। डिफ़ॉल्ट रूप से, कैप्चर किया गया ट्रैफ़िक एक स्ट्रीम में डिकोड होने से पहले चला जाता है, हालाँकि यह सिस्टम को अधिक लोड करता है। यदि आवश्यक हो, तो थ्रेड्स को सेटिंग्स में विभाजित किया जा सकता है और प्रोसेसर के बीच वितरित किया जा सकता है - सुरीकाटा विशिष्ट हार्डवेयर के लिए बहुत अच्छी तरह से अनुकूलित है, हालांकि यह अब शुरुआती लोगों के लिए HOWTO स्तर नहीं है। यह भी ध्यान देने योग्य है कि Suricata के पास HTP लाइब्रेरी पर आधारित उन्नत HTTP निरीक्षण उपकरण हैं। इनका उपयोग बिना पता लगाए ट्रैफ़िक लॉग करने के लिए भी किया जा सकता है। सिस्टम आईपीवी6 डिकोडिंग का भी समर्थन करता है, जिसमें आईपीवी4-इन-आईपीवी6 सुरंगें, आईपीवी6-इन-आईपीवी6 सुरंगें और बहुत कुछ शामिल हैं।

ट्रैफ़िक को रोकने के लिए विभिन्न इंटरफ़ेस का उपयोग किया जा सकता है (NFQueue, IPFRing, LibPcap, IPFW, AF_PACKET, PF_RING), और यूनिक्स सॉकेट मोड में, आप स्वचालित रूप से किसी अन्य स्निफ़र द्वारा कैप्चर की गई PCAP फ़ाइलों का विश्लेषण कर सकते हैं। इसके अलावा, सुरीकाटा का मॉड्यूलर आर्किटेक्चर नेटवर्क पैकेट को कैप्चर करने, डिकोड करने, पार्स करने और प्रोसेस करने के लिए नए तत्वों को प्लग करना आसान बनाता है। यह भी ध्यान रखना महत्वपूर्ण है कि सुरीकाटा में, ऑपरेटिंग सिस्टम के नियमित फ़िल्टर के माध्यम से ट्रैफ़िक को अवरुद्ध किया जाता है। IPS कैसे काम करता है इसके लिए GNU/Linux के पास दो विकल्प हैं: NFQUEUE कतार (NFQ मोड) के माध्यम से और शून्य कॉपी (AF_PACKET मोड) के माध्यम से। पहले मामले में, iptables में प्रवेश करने वाला पैकेट NFQUEUE कतार में भेजा जाता है, जहां इसे उपयोगकर्ता स्तर पर संसाधित किया जा सकता है। सुरीकाटा इसे अपने नियमों के अनुसार चलाता है और तीन निर्णयों में से एक जारी करता है: NF_ACCEPT, NF_DROP और NF_REPEAT। पहले दो स्व-व्याख्यात्मक हैं, जबकि अंतिम पैकेट को टैग करने और वर्तमान iptables तालिका के शीर्ष पर भेजने की अनुमति देता है। AF_PACKET मोड तेज़ है, लेकिन यह सिस्टम पर कई प्रतिबंध लगाता है: इसमें दो नेटवर्क इंटरफेस होने चाहिए और गेटवे के रूप में काम करना चाहिए। अवरुद्ध पैकेट को दूसरे इंटरफ़ेस पर अग्रेषित नहीं किया जाता है।

सुरीकाटा की एक महत्वपूर्ण विशेषता स्नॉर्ट के लिए विकास का उपयोग करने की क्षमता है। व्यवस्थापक के पास, विशेष रूप से, सोर्सफायर वीआरटी और ओपनसोर्स इमर्जिंग थ्रेट्स नियम सेट के साथ-साथ वाणिज्यिक इमर्जिंग थ्रेट्स प्रो तक पहुंच है। एकीकृत आउटपुट को लोकप्रिय बैकएंड का उपयोग करके पार्स किया जा सकता है, पीसीएपी और सिसलॉग आउटपुट भी समर्थित है। सिस्टम सेटिंग्स और नियम YAML फ़ाइलों में संग्रहीत होते हैं, जिन्हें पढ़ना आसान होता है और स्वचालित रूप से संसाधित किया जा सकता है। सुरीकाटा इंजन कई प्रोटोकॉल को पहचानता है, इसलिए नियमों को पोर्ट नंबर से बांधने की आवश्यकता नहीं है। इसके अलावा, सुरिकाटा के नियमों में फ़्लोबिट्स की अवधारणा सक्रिय रूप से प्रचलित है। ट्रिगर को ट्रैक करने के लिए, विभिन्न काउंटर और फ़्लैग बनाने और लागू करने के लिए सत्र चर का उपयोग किया जाता है। कई आईडीएस विभिन्न टीसीपी कनेक्शनों को अलग-अलग संस्थाओं के रूप में मानते हैं और उनके बीच कोई कनेक्शन नहीं दिख सकता है जो हमले की शुरुआत का संकेत देता है। सुरीकाटा पूरी तस्वीर देखने की कोशिश करता है और कई मामलों में विभिन्न कनेक्शनों पर वितरित दुर्भावनापूर्ण ट्रैफ़िक को पहचानता है। आप इसके फायदों के बारे में लंबे समय तक बात कर सकते हैं, बेहतर होगा कि हम इंस्टॉलेशन और कॉन्फ़िगरेशन पर आगे बढ़ें।

कैसे स्थापित करें?

हम Ubuntu 18.04 LTS चलाने वाले वर्चुअल सर्वर पर Suricata स्थापित करेंगे। सभी कमांड को सुपरयूज़र (रूट) की ओर से निष्पादित किया जाना चाहिए। सबसे सुरक्षित विकल्प एक सामान्य उपयोगकर्ता के रूप में सर्वर में SSH करना है और फिर विशेषाधिकारों को बढ़ाने के लिए sudo उपयोगिता का उपयोग करना है। सबसे पहले आपको वे पैकेज इंस्टॉल करने होंगे जिनकी हमें आवश्यकता है:

sudo apt -y install libpcre3 libpcre3-dev build-essential autoconf automake libtool libpcap-dev libnet1-dev libyaml-0-2 libyaml-dev zlib1g zlib1g-dev libmagic-dev libcap-ng-dev libjansson-dev pkg-config libnetfilter-queue-dev geoip-bin geoip-database geoipupdate apt-transport-https

बाहरी रिपोजिटरी को जोड़ना:

sudo add-apt-repository ppa:oisf/suricata-stable
sudo apt-get update

Suricata का नवीनतम स्थिर संस्करण स्थापित करें:

sudo apt-get install suricata

यदि आवश्यक हो, तो सर्वर के बाहरी इंटरफ़ेस के वास्तविक नाम के साथ डिफ़ॉल्ट eth0 को प्रतिस्थापित करते हुए, कॉन्फ़िगरेशन फ़ाइल नाम को संपादित करें। डिफ़ॉल्ट सेटिंग्स /etc/default/suricata फ़ाइल में संग्रहीत की जाती हैं, और कस्टम सेटिंग्स /etc/suricata/suricata.yaml में संग्रहीत की जाती हैं। आईडीएस को कॉन्फ़िगर करना अधिकतर इस कॉन्फ़िगरेशन फ़ाइल को संपादित करने तक ही सीमित है। इसमें बहुत सारे पैरामीटर हैं, जो नाम और उद्देश्य से, स्नॉर्ट के एनालॉग्स से मेल खाते हैं। हालाँकि, सिंटैक्स पूरी तरह से अलग है, लेकिन फ़ाइल को स्नॉर्ट कॉन्फ़िगरेशन की तुलना में पढ़ना बहुत आसान है और अच्छी तरह से टिप्पणी की गई है।

sudo nano /etc/default/suricata

sudo nano /etc/suricata/suricata.yaml

ध्यान! शुरू करने से पहले, vars अनुभाग से वेरिएबल्स के मानों की जांच करना उचित है।

सेटअप पूरा करने के लिए, आपको नियमों को अपडेट करने और लोड करने के लिए सुरीकाटा-अपडेट इंस्टॉल करना होगा। ऐसा करना बहुत आसान है:

sudo apt install python-pip
sudo pip install pyyaml
sudo pip install <a href="https://github.com/OISF/suricata-update/archive/master.zip">https://github.com/OISF/suricata-update/archive/master.zip</a>
sudo pip install --pre --upgrade suricata-update

इसके बाद, हमें उभरते ख़तरे ओपन नियम सेट को स्थापित करने के लिए सुरीकाटा-अपडेट कमांड चलाने की आवश्यकता है:

sudo suricata-update

नियम स्रोतों की सूची देखने के लिए, निम्न आदेश चलाएँ:

sudo suricata-update list-sources

नियम स्रोत अद्यतन करें:

sudo suricata-update update-sources

अद्यतन स्रोतों पर दोबारा गौर करना:

sudo suricata-update list-sources

यदि आवश्यक हो, तो आप उपलब्ध निःशुल्क स्रोतों को शामिल कर सकते हैं:

sudo suricata-update enable-source ptresearch/attackdetection
sudo suricata-update enable-source oisf/trafficid
sudo suricata-update enable-source sslbl/ssl-fp-blacklist

उसके बाद, आपको नियमों को फिर से अपडेट करना होगा:

sudo suricata-update

यह Ubuntu 18.04 LTS में Suricata की स्थापना और प्रारंभिक कॉन्फ़िगरेशन को पूरा करता है। फिर मज़ा शुरू होता है: अगले लेख में, हम एक वर्चुअल सर्वर को वीपीएन के माध्यम से कार्यालय नेटवर्क से जोड़ेंगे और सभी आने वाले और बाहर जाने वाले ट्रैफ़िक का विश्लेषण करना शुरू करेंगे। हम DDoS हमलों, मैलवेयर गतिविधि और सार्वजनिक नेटवर्क से पहुंच योग्य सेवाओं में कमजोरियों का फायदा उठाने के प्रयासों को रोकने पर विशेष ध्यान देंगे। स्पष्टता के लिए, सबसे सामान्य प्रकार के हमलों का अनुकरण किया जाएगा।

स्रोत: www.habr.com

स्नॉर्ट या सुरीकाटा। भाग 2: सुरिकाटा की स्थापना और प्रारंभिक सेटअप

हमें दूसरे खुले आईपीएस की आवश्यकता क्यों है?

सुरिका क्यों?

कैसे स्थापित करें?

एक टिप्पणी जोड़ें उत्तर रद्द