სნორტი ან სურიკატა. ნაწილი 1: უფასო IDS/IPS-ის არჩევა თქვენი კორპორატიული ქსელის დასაცავად

ოდესღაც ჩვეულებრივი firewall და ანტივირუსული პროგრამები საკმარისი იყო ადგილობრივი ქსელის დასაცავად, მაგრამ ასეთი ნაკრები აღარ არის საკმარისად ეფექტური თანამედროვე ჰაკერების თავდასხმებისა და ახლახან გავრცელებული მავნე პროგრამების წინააღმდეგ. კარგი ძველი firewall აანალიზებს მხოლოდ პაკეტების სათაურებს, გადასცემს ან ბლოკავს მათ ფორმალური წესების შესაბამისად. მან არაფერი იცის პაკეტების შიგთავსის შესახებ და, შესაბამისად, ვერ ცნობს თავდამსხმელთა გარეგნულად ლეგიტიმურ ქმედებებს. ანტივირუსული პროგრამები ყოველთვის არ იჭერს მავნე პროგრამას, ამიტომ ადმინისტრატორის წინაშე დგას დავალება, დააკვირდეს ანომალიურ აქტივობას და დროულად გამოყოს ინფიცირებული მასპინძლები.

არსებობს მრავალი მოწინავე ინსტრუმენტი, რომელიც საშუალებას გაძლევთ დაიცვათ კომპანიის IT ინფრასტრუქტურა. დღეს ჩვენ ვისაუბრებთ ღია კოდის შეჭრის აღმოჩენისა და პრევენციის სისტემებზე, რომლებიც შეიძლება განხორციელდეს ძვირადღირებული აპარატურის და პროგრამული უზრუნველყოფის ლიცენზიების შეძენის გარეშე.

IDS/IPS კლასიფიკაცია

IDS (Intrusion Detection System) არის სისტემა, რომელიც შექმნილია ქსელში ან ცალკეულ კომპიუტერზე საეჭვო მოქმედებების დასარეგისტრირებლად. ის ინახავს მოვლენის ჟურნალებს და აცნობებს მათ შესახებ ინფორმაციის უსაფრთხოებაზე პასუხისმგებელ პირს. IDS მოიცავს შემდეგ ელემენტებს:

• სენსორები ქსელის ტრაფიკის სანახავად, სხვადასხვა ჟურნალები და ა.შ. 
• ანალიზის ქვესისტემა, რომელიც აღმოაჩენს მიღებულ მონაცემებში მავნე ზემოქმედების ნიშნებს;
• პირველადი მოვლენების დაგროვებისა და ანალიზის შედეგების შენახვა;
• მართვის კონსოლი.

თავდაპირველად, IDS იყო კლასიფიცირებული მდებარეობის მიხედვით: ისინი შეიძლება ორიენტირებული იყოს ცალკეული კვანძების დაცვაზე (ჰოსტზე დაფუძნებული ან Host Intrusion Detection System - HIDS) ან მთელი კორპორატიული ქსელის დაცვაზე (ქსელზე დაფუძნებული ან ქსელის შეჭრის გამოვლენის სისტემა - NIDS). აღსანიშნავია ე.წ. APIDS (აპლიკაციის პროტოკოლზე დაფუძნებული IDS): ისინი აკონტროლებენ განაცხადის ფენის პროტოკოლების შეზღუდულ კომპლექტს კონკრეტული შეტევების გამოსავლენად და არ აანალიზებენ ქსელის პაკეტებს. ასეთი პროდუქტები, როგორც წესი, ჰგავს პროქსიებს და გამოიყენება კონკრეტული სერვისების დასაცავად: ვებ სერვერი და ვებ აპლიკაციები (მაგალითად, დაწერილი PHP-ში), მონაცემთა ბაზის სერვერები და ა.შ. ამ კლასის ტიპიური წარმომადგენელია mod_security Apache ვებ სერვერისთვის.

ჩვენ უფრო მეტად გვაინტერესებს უნივერსალური NIDS, რომელიც მხარს უჭერს საკომუნიკაციო პროტოკოლების ფართო სპექტრს და DPI (Deep Packet Inspection) პაკეტის ანალიზის ტექნოლოგიებს. ისინი აკონტროლებენ ყველა გამავალ ტრაფიკს, დაწყებული მონაცემთა ბმულის ფენიდან და აღმოაჩენენ ქსელის შეტევების ფართო სპექტრს, ასევე ინფორმაციაზე არაავტორიზებული წვდომას. ხშირად ასეთ სისტემებს აქვთ განაწილებული არქიტექტურა და შეუძლიათ ურთიერთქმედება სხვადასხვა აქტიურ ქსელურ აღჭურვილობასთან. გაითვალისწინეთ, რომ ბევრი თანამედროვე NIDS არის ჰიბრიდული და აერთიანებს რამდენიმე მიდგომას. კონფიგურაციისა და პარამეტრების მიხედვით, მათ შეუძლიათ სხვადასხვა პრობლემის გადაჭრა - მაგალითად, ერთი კვანძის ან მთელი ქსელის დაცვა. გარდა ამისა, სამუშაო სადგურებისთვის IDS ფუნქციები აითვისა ანტივირუსულმა პაკეტებმა, რომლებიც ინფორმაციის მოპარვისკენ მიმართული ტროას გავრცელების გამო, გადაიქცა მრავალფუნქციურ ფეიერვოლებად, რომლებიც ასევე წყვეტენ საეჭვო ტრაფიკის ამოცნობისა და დაბლოკვის ამოცანებს.

თავდაპირველად, IDS-ს შეეძლო მხოლოდ მავნე პროგრამის აქტივობის, პორტის სკანერების ან, ვთქვათ, კორპორატიული უსაფრთხოების პოლიტიკის მომხმარებლის დარღვევების აღმოჩენა. როდესაც მოხდა გარკვეული მოვლენა, მათ აცნობეს ადმინისტრატორს, მაგრამ სწრაფად გაირკვა, რომ შეტევის უბრალოდ აღიარება საკმარისი არ იყო - მისი დაბლოკვა იყო საჭირო. ასე რომ, IDS გადაკეთდა IPS-ად (Intrusion Prevention Systems) - შეჭრის პრევენციის სისტემები, რომლებსაც შეუძლიათ ურთიერთქმედება ფეიერვოლებთან.

გამოვლენის მეთოდები

შეჭრის აღმოჩენისა და პრევენციის თანამედროვე გადაწყვეტილებები იყენებს სხვადასხვა მეთოდებს მავნე მოქმედებების გამოსავლენად, რომლებიც შეიძლება დაიყოს სამ კატეგორიად. ეს გვაძლევს სხვა ვარიანტს სისტემების კლასიფიკაციისთვის:

• ხელმოწერებზე დაფუძნებული IDS/IPS ეძებს შაბლონებს ტრაფიკში ან აკონტროლებს სისტემის მდგომარეობის ცვლილებებს, რათა აღმოაჩინოს ქსელის შეტევა ან ინფექციის მცდელობა. ისინი პრაქტიკულად არ აძლევენ შეცდომებს და ცრუ პოზიტივებს, მაგრამ არ შეუძლიათ ამოიცნონ უცნობი საფრთხეები;
• ანომალიის გამოვლენის IDS-ები არ იყენებენ თავდასხმის ხელმოწერებს. ისინი აღიარებენ საინფორმაციო სისტემების არანორმალურ ქცევას (მათ შორის ანომალიებს ქსელის ტრაფიკში) და შეუძლიათ ამოიცნონ უცნობი შეტევებიც. ასეთი სისტემები საკმაოდ ბევრ ცრუ პოზიტივს იძლევა და არასწორად გამოყენების შემთხვევაში, ლოკალური ქსელის მუშაობას პარალიზებენ;
• წესებზე დაფუძნებული IDS მუშაობს ასე: თუ ფაქტია, მაშინ მოქმედება. სინამდვილეში, ეს არის საექსპერტო სისტემები ცოდნის ბაზებით - ფაქტებისა და დასკვნის წესების ნაკრები. ასეთი გადაწყვეტილებების დაყენება შრომატევადია და ადმინისტრატორს სჭირდება ქსელის დეტალური გაგება. 

IDS განვითარების ისტორია

ინტერნეტისა და კორპორატიული ქსელების სწრაფი განვითარების ერა გასული საუკუნის 90-იან წლებში დაიწყო, თუმცა ექსპერტები ცოტა ადრე გაკვირვებულები იყვნენ ქსელის უსაფრთხოების მოწინავე ტექნოლოგიებით. 1986 წელს დოროთი დენინგმა და პიტერ ნოიმანმა გამოაქვეყნეს IDES (Intrusion Detection Expert System) მოდელი, რომელიც გახდა ყველაზე თანამედროვე შეჭრის აღმოჩენის სისტემების საფუძველი. მან გამოიყენა საექსპერტო სისტემა ცნობილი თავდასხმების, ასევე სტატისტიკური მეთოდებისა და მომხმარებლის/სისტემის პროფილების დასადგენად. IDES მუშაობდა Sun სამუშაო სადგურებზე, ამოწმებდა ქსელის ტრაფიკს და აპლიკაციის მონაცემებს. 1993 წელს გამოვიდა NIDES (შემდეგი თაობის Intrusion Detection Expert System) - ახალი თაობის შეჭრის აღმოჩენის საექსპერტო სისტემა.

დენინგისა და ნეუმანის ნაშრომზე დაყრდნობით, MIDAS (Multics intrusion detection and alerting system) საექსპერტო სისტემა 1988 წელს გამოჩნდა P-BEST და LISP-ის გამოყენებით. პარალელურად შეიქმნა სტატისტიკურ მეთოდებზე დაფუძნებული Haystack სისტემა. კიდევ ერთი სტატისტიკური ანომალიის დეტექტორი, W&S (Wisdom & Sense), შეიქმნა ერთი წლის შემდეგ ლოს ალამოსის ეროვნულ ლაბორატორიაში. ინდუსტრიის განვითარება სწრაფი ტემპით მიმდინარეობდა. მაგალითად, 1990 წელს, ანომალიების გამოვლენა უკვე განხორციელდა TIM (დროზე დაფუძნებული ინდუქციური მანქანა) სისტემაში ინდუქციური სწავლის გამოყენებით მომხმარებელთა თანმიმდევრულ შაბლონებზე (Common LISP ენა). NSM (ქსელის უსაფრთხოების მონიტორი) შეადარა წვდომის მატრიცებს ანომალიების აღმოჩენისთვის და ISOA (ინფორმაციული უსაფრთხოების ოფიცრის ასისტენტი) მხარს უჭერდა აღმოჩენის სხვადასხვა სტრატეგიას: სტატისტიკურ მეთოდებს, პროფილის შემოწმებას და საექსპერტო სისტემას. AT & T Bell Labs-ში შექმნილი ComputerWatch სისტემა იყენებდა როგორც სტატისტიკურ მეთოდებს, ასევე წესებს გადამოწმებისთვის, ხოლო კალიფორნიის უნივერსიტეტის დეველოპერებმა მიიღეს განაწილებული IDS-ის პირველი პროტოტიპი ჯერ კიდევ 1991 წელს - DIDS (Distributed Intrusion Detection System) ასევე ექსპერტი იყო. სისტემა.

თავდაპირველად IDS საკუთრებაში იყო, მაგრამ უკვე 1998 წელს ეროვნულმა ლაბორატორიამ. ლოურენსმა ბერკლიში გამოუშვა Bro (2018 წელს ეწოდა Zeek), ღია კოდის სისტემა, რომელიც იყენებს საკუთარ წესების ენას libpcap მონაცემების გასაანალიზებლად. იმავე წლის ნოემბერში გამოჩნდა APE პაკეტის სნიფერი libpcap-ის გამოყენებით, რომელსაც ერთი თვის შემდეგ დაარქვეს Snort და მოგვიანებით გახდა სრულფასოვანი IDS / IPS. ამავდროულად, მრავალი საკუთრების გადაწყვეტა გამოჩნდა.

სნორტი და სურიკატა

ბევრი კომპანია ურჩევნია უფასო და ღია კოდის IDS/IPS. დიდი ხნის განმავლობაში უკვე ნახსენები Snort ითვლებოდა სტანდარტულ გადაწყვეტად, ახლა კი ის შეიცვალა Suricata სისტემით. განვიხილოთ მათი დადებითი და უარყოფითი მხარეები ცოტა უფრო დეტალურად. Snort აერთიანებს ხელმოწერის მეთოდის სარგებელს რეალურ დროში ანომალიის გამოვლენასთან. Suricata ასევე საშუალებას აძლევს სხვა მეთოდებს, გარდა თავდასხმის ხელმოწერის გამოვლენისა. სისტემა შეიქმნა დეველოპერების ჯგუფის მიერ, რომლებიც გამოეყო Snort პროექტს და მხარს უჭერს IPS ფუნქციებს 1.4 ვერსიიდან, ხოლო შეჭრის პრევენცია Snort-ში მოგვიანებით გამოჩნდა.

მთავარი განსხვავება ორ პოპულარულ პროდუქტს შორის არის Suricata-ს შესაძლებლობა გამოიყენოს GPU IDS გამოთვლებისთვის, ისევე როგორც უფრო მოწინავე IPS. სისტემა თავდაპირველად შექმნილი იყო მრავალძაფიანი ხრახნისთვის, ხოლო Snort არის ერთძაფის პროდუქტი. თავისი ხანგრძლივი ისტორიისა და მემკვიდრეობითი კოდის გამო, ის არ იყენებს ოპტიმალურად მრავალპროცესორულ/მრავალბირთვიან აპარატურულ პლატფორმებს, ხოლო Suricata-ს შეუძლია 10 გბ/წმ-მდე ტრაფიკის მართვა ჩვეულებრივი ზოგადი დანიშნულების კომპიუტერებზე. თქვენ შეგიძლიათ დიდხანს ისაუბროთ ორ სისტემას შორის მსგავსებაზე და განსხვავებაზე, მაგრამ მიუხედავად იმისა, რომ Suricata ძრავა უფრო სწრაფად მუშაობს, არც ისე ფართო არხებისთვის ამას მნიშვნელობა არ აქვს.

განლაგების ვარიანტები

IPS უნდა განთავსდეს ისე, რომ სისტემას შეეძლოს მისი კონტროლის ქვეშ მყოფი ქსელის სეგმენტების მონიტორინგი. ყველაზე ხშირად, ეს არის გამოყოფილი კომპიუტერი, რომლის ერთი ინტერფეისი აკავშირებს გვერდითი მოწყობილობების შემდეგ და „იყურება“ მათში დაუცველ საჯარო ქსელებში (ინტერნეტი). კიდევ ერთი IPS ინტერფეისი უკავშირდება დაცული სეგმენტის შეყვანას ისე, რომ მთელი ტრაფიკი გადის სისტემაში და გაანალიზებულია. უფრო რთულ შემთხვევებში შეიძლება არსებობდეს რამდენიმე დაცული სეგმენტი: მაგალითად, კორპორატიულ ქსელებში, დემილიტარიზებული ზონა (DMZ) ხშირად არის გამოყოფილი ინტერნეტიდან ხელმისაწვდომი სერვისებით.

ასეთ IPS-ს შეუძლია თავიდან აიცილოს პორტების სკანირება ან უხეში შეტევები, დაუცველობის გამოყენება ფოსტის სერვერზე, ვებ სერვერზე ან სკრიპტებში, ასევე სხვა სახის გარე შეტევებზე. თუ ლოკალური ქსელის კომპიუტერები დაინფიცირებულია მავნე პროგრამით, IDS არ დაუშვებს მათ, დაუკავშირდნენ ბოტნეტის სერვერებს, რომლებიც მდებარეობს გარეთ. შიდა ქსელის უფრო სერიოზული დაცვა, სავარაუდოდ, მოითხოვს კომპლექსურ კონფიგურაციას განაწილებული სისტემით და ძვირადღირებული მართული გადამრთველებით, რომლებსაც შეუძლიათ ტრაფიკის ასახვა IDS ინტერფეისისთვის, რომელიც დაკავშირებულია ერთ-ერთ პორტთან.

ხშირად კორპორატიული ქსელები ექვემდებარება განაწილებულ სერვისზე უარის თქმის (DDoS) შეტევებს. მიუხედავად იმისა, რომ თანამედროვე IDS-ებს შეუძლიათ მათთან გამკლავება, ზემოაღნიშნული განლაგების ვარიანტი აქ ნაკლებად დაგვეხმარება. სისტემა აღიარებს მავნე აქტივობას და ბლოკავს ყალბ ტრაფიკს, მაგრამ ამისათვის პაკეტებმა უნდა გაიარონ გარე ინტერნეტ კავშირი და მიაღწიონ მის ქსელურ ინტერფეისს. თავდასხმის ინტენსივობიდან გამომდინარე, მონაცემთა გადაცემის არხი შეიძლება ვერ გაუმკლავდეს დატვირთვას და თავდამსხმელთა მიზანი მიღწეული იქნება. ასეთი შემთხვევებისთვის, ჩვენ გირჩევთ IDS-ის განთავსებას ვირტუალურ სერვერზე ცნობილი უკეთესი ინტერნეტ კავშირით. თქვენ შეგიძლიათ დააკავშიროთ VPS ლოკალურ ქსელს VPN-ის საშუალებით და შემდეგ მოგიწევთ მისი მეშვეობით მთელი გარე ტრაფიკის მარშრუტის კონფიგურაცია. შემდეგ, DDoS შეტევის შემთხვევაში, თქვენ არ მოგიწევთ პაკეტების მართვა პროვაიდერთან კავშირის საშუალებით, ისინი დაიბლოკება გარე ჰოსტზე.

არჩევანი არჩევანი

თავისუფალ სისტემებს შორის ლიდერის გამოვლენა ძალიან რთულია. IDS / IPS-ის არჩევანი განისაზღვრება ქსელის ტოპოლოგიით, დაცვის აუცილებელი ფუნქციებით, ასევე ადმინისტრატორის პირადი პრეფერენციებით და მისი სურვილით, შეასრულოს პარამეტრები. სნორტს უფრო გრძელი ისტორია აქვს და უკეთ არის დოკუმენტირებული, თუმცა სურიკატას შესახებ ინფორმაცია ასევე მარტივია ინტერნეტში. ნებისმიერ შემთხვევაში, სისტემის დასაუფლებლად მოგიწევთ გარკვეული ძალისხმევა, რაც საბოლოოდ გამოგივათ - კომერციული აპარატურა და აპარატურა-პროგრამული IDS/IPS საკმაოდ ძვირია და ყოველთვის არ ჯდება ბიუჯეტში. დახარჯული დროის სინანული არ ღირს, რადგან კარგი ადმინისტრატორი ყოველთვის ამაღლებს კვალიფიკაციას დამსაქმებლის ხარჯზე. ამ სიტუაციაში ყველა იმარჯვებს. შემდეგ სტატიაში ჩვენ გადავხედავთ Suricata-ს განლაგების რამდენიმე ვარიანტს და შევადარებთ უფრო თანამედროვე სისტემას კლასიკურ IDS/IPS Snort-თან პრაქტიკაში.

წყარო: www.habr.com