נחירה או סוריקטה. חלק 1: בחירת IDS/IPS בחינם כדי להגן על הרשת הארגונית שלך

פעם, חומת אש רגילה ותוכניות אנטי-וירוס הספיקו כדי להגן על רשת מקומית, אבל סט כזה כבר לא מספיק יעיל נגד התקפות של האקרים מודרניים ותוכנות זדוניות שהתרבו לאחרונה. חומת אש ישנה וטובה מנתחת רק כותרות מנות, מאפשרת או חוסמת אותן לפי קבוצה של כללים פורמליים. הוא אינו יודע דבר על תוכן החבילות, ולכן אינו יכול לזהות פעולות לגיטימיות לכאורה של תוקפים. תוכניות אנטי-וירוס לא תמיד תופסות תוכנות זדוניות, כך שהמנהל עומד בפני המשימה של ניטור פעילות חריגה ובידוד בזמן של מארחים נגועים.

ישנם כלים מתקדמים רבים זמינים להגנה על תשתית ה-IT של החברה. היום נדבר על מערכות זיהוי ומניעת חדירות בקוד פתוח, שניתן ליישם ללא רכישת ציוד יקר ורישיונות תוכנה.

סיווג IDS/IPS

IDS (מערכת זיהוי חדירה) היא מערכת המיועדת לרישום פעילויות חשודות ברשת או במחשב בודד. היא שומרת יומני אירועים ומודיעה לעובד האחראי על אבטחת המידע עליהם. ניתן להבחין בין האלמנטים הבאים כחלק מה-IDS:

• חיישנים לצפייה בתעבורת רשת, יומנים שונים וכו'. 
• תת-מערכת ניתוח המזהה סימנים להשפעה זדונית בנתונים שהתקבלו;
• אחסון עבור הצטברות של אירועים ראשוניים ותוצאות ניתוח;
• קונסולת ניהול.

בתחילה, IDS סווגו לפי מיקום: הם יכלו להיות ממוקדים בהגנה על צמתים בודדים (מבוססת מארח או מערכת Intrusion Detection Detection - HIDS) או בהגנה על כל הרשת הארגונית (מבוססת רשת או מערכת זיהוי חדירת רשת - NIDS). ראוי להזכיר את מה שנקרא APIDS (IDS מבוסס פרוטוקול יישומים): הם מפקחים על קבוצה מוגבלת של פרוטוקולים ברמת היישום כדי לזהות התקפות ספציפיות ואינם מבצעים ניתוח עמוק של מנות רשת. מוצרים כאלה בדרך כלל דומים ל-proxies ומשמשים להגנה על שירותים ספציפיים: שרת אינטרנט ויישומי אינטרנט (לדוגמה, כתובים ב-PHP), שרת מסד נתונים וכו'. דוגמה טיפוסית למחלקה זו היא mod_security עבור שרת האינטרנט של Apache.

אנו מתעניינים יותר ב-NIDS אוניברסלי התומכים במגוון רחב של פרוטוקולי תקשורת וטכנולוגיות DPI (Deep Packet Inspection). הם עוקבים אחר כל התעבורה החולפת, החל משכבת ​​קישור הנתונים, ומזהים מגוון רחב של התקפות רשת, כמו גם ניסיונות לגישה לא מורשית למידע. לעתים קרובות למערכות כאלה יש ארכיטקטורה מבוזרת ויכולות לקיים אינטראקציה עם ציוד רשת פעיל שונים. שימו לב ש-NIDS מודרניים רבים הם היברידיים ומשלבים מספר גישות. בהתאם לתצורה ולהגדרות, הם יכולים לפתור בעיות שונות - למשל, הגנה על צומת אחד או על כל הרשת. בנוסף, על הפונקציות של IDS ​​לתחנות עבודה השתלטו חבילות אנטי-וירוס, אשר עקב התפשטות סוסים טרויאניים שמטרתם גניבת מידע, הפכו לחוומות אש רב-תכליתיות הפותרות גם את בעיות הזיהוי והחסימה של תעבורה חשודה.

בתחילה, IDS יכול היה לזהות רק פעילות תוכנות זדוניות, סורקי יציאות, או, נניח, הפרות משתמשים של מדיניות האבטחה הארגונית. כאשר התרחש אירוע מסוים, הם הודיעו למנהלן, אך מהר מאוד התברר שלא די בזיהוי המתקפה - צריך לחסום אותה. אז IDS הפכו ל-IPS (מערכות למניעת חדירות) - מערכות למניעת חדירות המסוגלות לקיים אינטראקציה עם חומות אש.

שיטות זיהוי

פתרונות זיהוי ומניעת חדירה מודרניים משתמשים במגוון שיטות לזיהוי פעילות זדונית, שניתן לחלק לשלוש קטגוריות. זה נותן לנו אפשרות נוספת לסיווג מערכות:

• IDS/IPS מבוססי חתימה מזהים דפוסים בתעבורה או עוקבים אחר שינויים במצב המערכות כדי לקבוע התקפת רשת או ניסיון הדבקה. הם למעשה אינם נותנים תקלות ותוצאות שווא, אך אינם מסוגלים לזהות איומים לא ידועים;
• IDSs לזיהוי חריגות אינם משתמשים בחתימות התקפה. הם מזהים התנהגות חריגה של מערכות מידע (כולל חריגות בתעבורת הרשת) ואף יכולים לזהות התקפות לא ידועות. מערכות כאלה נותנות די הרבה תוצאות חיוביות שגויות, ואם נעשה בהן שימוש לא נכון, משתקות את פעולת הרשת המקומית;
• IDS מבוסס כללים עובד על העיקרון: אם FACT אז ACTION. בעצם, מדובר במערכות מומחים בעלות בסיסי ידע – מערכת של עובדות וכללים של הסקה לוגית. פתרונות כאלה הם עתירי עבודה להגדרה ודורשים מהמנהל הבנה מפורטת של הרשת. 

היסטוריה של פיתוח IDS

עידן ההתפתחות המהירה של האינטרנט והרשתות הארגוניות החל בשנות ה-90 של המאה הקודמת, אך מומחים תמהו על טכנולוגיות אבטחת רשת מתקדמות קצת קודם לכן. בשנת 1986 פרסמו דורותי דנינג ופיטר נוימן את מודל ה-IDES (מערכת מומחה לגילוי חדירות), שהפך לבסיס של רוב מערכות גילוי החדירה המודרניות. הוא השתמש במערכת מומחים כדי לזהות סוגי התקפות ידועים, כמו גם שיטות סטטיסטיות ופרופילי משתמש/מערכת. IDES רץ על תחנות עבודה של Sun, בדק תעבורת רשת ונתוני יישומים. בשנת 1993 יצאה NIDES (מערכת המומחים לגילוי חדירות מהדור הבא) - מערכת מומחים לגילוי חדירות מהדור החדש.

בהתבסס על עבודתם של דנינג ונוימן, מערכת המומחים של MIDAS (Multics Intrusion Intrusion and Alerting System) באמצעות P-BEST ו-LISP הופיעה ב-1988. במקביל נוצרה מערכת Haystack המבוססת על שיטות סטטיסטיות. גלאי אנומליה סטטיסטית נוספת, W&S (Wisdom & Sense), פותח שנה לאחר מכן במעבדה הלאומית של לוס אלמוס. התעשייה התפתחה בקצב מהיר. לדוגמה, בשנת 1990, מערכת TIM (מכונה אינדוקטיבית מבוססת זמן) כבר הטמיעה זיהוי חריגות באמצעות למידה אינדוקטיבית על דפוסי משתמש עוקבים (שפת LISP משותפת). NSM (Network Security Monitor) השווה בין מטריצות גישה כדי לזהות חריגות, ו-ISOA (עוזר קצין אבטחת מידע) תמך באסטרטגיות זיהוי שונות: שיטות סטטיסטיות, בדיקת פרופיל ומערכת מומחים. מערכת ComputerWatch שנוצרה במעבדות AT&T Bell השתמשה בשיטות ובכללים סטטיסטיים לאימות, ומפתחי אוניברסיטת קליפורניה קיבלו את אב הטיפוס הראשון של IDS ​​מבוזר עוד ב-1991 - DIDS (Distributed Intrusion Detection System) הייתה גם מערכת מומחים.

בהתחלה, IDS היה קנייני, אבל כבר ב-1998, המעבדה הלאומית. לורנס ברקלי שחרר את Bro (ששמה שם Zeek ב-2018), מערכת קוד פתוח המשתמשת בשפת חוקים קניינית לניתוח נתוני libpcap. בנובמבר אותה שנה הופיע רחרח החבילות של APE באמצעות libpcap, שחודש לאחר מכן שונה שמו ל-Snort, ולאחר מכן הפך ל-IDS/IPS מן המניין. במקביל, החלו להופיע פתרונות קנייניים רבים.

נחירה וסוריקטה

חברות רבות מעדיפות IDS/IPS בחינם וקוד פתוח. במשך זמן רב, הסנורט שהוזכר כבר נחשב לפתרון הסטנדרטי, אך כעת הוא הוחלף על ידי מערכת Suricata. בואו נסתכל על היתרונות והחסרונות שלהם בפירוט קטן יותר. Snort משלבת את היתרונות של שיטה מבוססת חתימה עם היכולת לזהות חריגות בזמן אמת. Suricata גם מאפשרת לך להשתמש בשיטות אחרות מלבד זיהוי התקפות על ידי חתימות. המערכת נוצרה על ידי קבוצת מפתחים שהופרדה מפרויקט Snort ותומכת בפונקציות IPS החל מגרסה 1.4, ו-Snort הציגה את היכולת למנוע חדירות מאוחר יותר.

ההבדל העיקרי בין שני המוצרים הפופולריים הוא היכולת של Suricata להשתמש במחשוב GPU במצב IDS, כמו גם ה-IPS המתקדם יותר. המערכת תוכננה בתחילה לריבוי הליכי השחלה, בעוד ש-Snort הוא מוצר עם פתילים בודדים. בשל ההיסטוריה הארוכה והקוד מדור קודם, הוא אינו משתמש בצורה מיטבית בפלטפורמות חומרה מרובות מעבדים/מרובות ליבות, בעוד ש-Suricata יכולה להתמודד עם תעבורה של עד 10 Gbps במחשבים רגילים לשימוש כללי. אפשר לדבר הרבה זמן על הדמיון והשוני בין שתי המערכות, אבל למרות שמנוע ה-Suricata עובד מהר יותר, לערוצים לא רחבים מדי אין לכך חשיבות עקרונית.

אפשרויות פריסה

יש למקם את ה-IPS בצורה כזו שהמערכת תוכל לנטר את מקטעי הרשת שבשליטתה. לרוב, מדובר במחשב ייעודי, שממשק אחד שלו מחובר אחרי מכשירי הקצה ו"מסתכל" דרכם לרשתות ציבוריות לא מוגנות (האינטרנט). ממשק IPS נוסף מחובר לכניסה של הקטע המוגן כך שכל התעבורה עוברת במערכת ומנתחת. במקרים מורכבים יותר, עשויים להיות מספר מקטעים מוגנים: לדוגמה, ברשתות ארגוניות מוקצה לרוב אזור מפורז (DMZ) עם שירותים הנגישים מהאינטרנט.

IPS כזה יכול למנוע סריקת פורטים או התקפות של כוח גס באמצעות סיסמה, ניצול נקודות תורפה בשרת הדואר, שרת האינטרנט או סקריפטים, כמו גם סוגים אחרים של התקפות חיצוניות. אם מחשבים ברשת המקומית נגועים בתוכנה זדונית, IDS לא יאפשר להם ליצור קשר עם שרתי הבוטנט הממוקמים בחוץ. להגנה רצינית יותר על הרשת הפנימית, ככל הנראה תידרש תצורה מורכבת עם מערכת מבוזרת ומתגים מנוהלים יקרים המסוגלים לשקף תעבורה עבור ממשק IDS המחובר לאחת היציאות.

רשתות ארגוניות נתונות לרוב להתקפות מניעת שירות מבוזרות (DDoS). למרות ש-IDS מודרני יכול להתמודד איתם, לא סביר שאפשרות הפריסה לעיל תעזור כאן. המערכת תזהה פעילות זדונית ותחסום תעבורה מזויפת, אך לשם כך על החבילות לעבור דרך חיבור אינטרנט חיצוני ולהגיע לממשק הרשת שלה. בהתאם לעוצמת ההתקפה, ייתכן שערוץ העברת הנתונים לא יוכל להתמודד עם העומס ומטרת התוקפים תושג. במקרים כאלה, אנו ממליצים לפרוס IDS על שרת וירטואלי עם חיבור אינטרנט חזק יותר ללא ספק. אתה יכול לחבר את ה-VPS לרשת המקומית באמצעות VPN, ולאחר מכן תצטרך להגדיר ניתוב של כל התעבורה החיצונית דרכו. לאחר מכן, במקרה של מתקפת DDoS, לא תצטרך לשלוח מנות דרך החיבור לספק; הן ייחסמו בצומת החיצוני.

בעיית הבחירה

קשה מאוד לזהות מנהיג בין מערכות חופשיות. הבחירה ב-IDS/IPS נקבעת על פי טופולוגיית הרשת, פונקציות האבטחה הנדרשות, כמו גם העדפותיו האישיות של המנהל והרצון שלו להתעסק בהגדרות. ל-Snort יש היסטוריה ארוכה יותר והוא מתועד טוב יותר, אם כי קל למצוא מידע על Suricata גם באינטרנט. בכל מקרה, כדי לשלוט במערכת תצטרך לעשות כמה מאמצים, שבסופו של דבר ישתלמו - חומרה מסחרית וחומרה-תוכנה IDS/IPS הם די יקרים ולא תמיד נכנסים לתקציב. אין טעם להתחרט על בזבוז זמן, כי מנהל טוב תמיד משפר את כישוריו על חשבון המעסיק. במצב הזה כולם מנצחים. במאמר הבא נבחן כמה אפשרויות פריסה של Suricata ונשווה מערכת מודרנית יותר עם IDS/IPS Snort הקלאסי בפועל.

מקור: www.habr.com