Snort ຫຼື Suricata. ສ່ວນທີ 1: ການເລືອກ IDS/IPS ຟຣີເພື່ອປົກປ້ອງເຄືອຂ່າຍອົງກອນຂອງທ່ານ

ເມື່ອເວລາຜ່ານໄປ, firewall ແລະໂປລແກລມປ້ອງກັນໄວຣັດທໍາມະດາແມ່ນພຽງພໍທີ່ຈະປົກປ້ອງເຄືອຂ່າຍທ້ອງຖິ່ນ, ແຕ່ຊຸດດັ່ງກ່າວບໍ່ມີປະສິດຕິຜົນພຽງພໍຕໍ່ກັບການໂຈມຕີຂອງແຮກເກີທີ່ທັນສະໄຫມແລະ malware ທີ່ແຜ່ລາມໄປບໍ່ດົນມານີ້. Firewall ເກົ່າທີ່ດີຈະວິເຄາະພຽງແຕ່ສ່ວນຫົວຂອງແພັກເກັດ, ຜ່ານຫຼືຂັດຂວາງພວກມັນຕາມກົດລະບຽບທີ່ເປັນທາງການ. ມັນບໍ່ຮູ້ຫຍັງກ່ຽວກັບເນື້ອໃນຂອງຊຸດ, ແລະດັ່ງນັ້ນຈຶ່ງບໍ່ສາມາດຮັບຮູ້ການກະທໍາທີ່ຖືກຕ້ອງຕາມກົດຫມາຍພາຍນອກຂອງຜູ້ບຸກລຸກ. ໂປລແກລມຕ້ານໄວຣັສບໍ່ໄດ້ຈັບ malware ສະເຫມີ, ດັ່ງນັ້ນຜູ້ບໍລິຫານຕ້ອງປະເຊີນຫນ້າກັບວຽກງານຂອງການຕິດຕາມກິດຈະກໍາທີ່ຜິດປົກກະຕິແລະການແຍກໂຮດທີ່ຕິດເຊື້ອໃຫ້ທັນເວລາ.

ມີເຄື່ອງມືຂັ້ນສູງຫຼາຍອັນທີ່ຊ່ວຍໃຫ້ທ່ານສາມາດປົກປ້ອງໂຄງສ້າງພື້ນຖານດ້ານໄອທີຂອງບໍລິສັດໄດ້. ມື້ນີ້ພວກເຮົາຈະສົນທະນາກ່ຽວກັບແຫຼ່ງເປີດລະບົບການກວດສອບແລະການປ້ອງກັນການລ່ວງລະເມີດທີ່ສາມາດປະຕິບັດໄດ້ໂດຍບໍ່ຕ້ອງຊື້ຮາດແວແລະຊອບແວທີ່ມີລາຄາແພງຫຼາຍໃບອະນຸຍາດ.

ການຈັດປະເພດ IDS/IPS

IDS (Intrusion Detection System) ແມ່ນລະບົບທີ່ຖືກອອກແບບມາເພື່ອລົງທະບຽນກິດຈະກໍາທີ່ຫນ້າສົງໄສຢູ່ໃນເຄືອຂ່າຍຫຼືໃນຄອມພິວເຕີແຍກຕ່າງຫາກ. ມັນຮັກສາບັນທຶກເຫດການແລະແຈ້ງໃຫ້ຜູ້ທີ່ຮັບຜິດຊອບຄວາມປອດໄພຂໍ້ມູນຂ່າວສານກ່ຽວກັບພວກເຂົາ. IDS ປະກອບມີອົງປະກອບດັ່ງຕໍ່ໄປນີ້:

• ເຊັນເຊີສໍາລັບການເບິ່ງການຈະລາຈອນເຄືອຂ່າຍ, ບັນທຶກຕ່າງໆ, ແລະອື່ນໆ. 
• ລະບົບຍ່ອຍການວິເຄາະທີ່ກວດພົບອາການຂອງຜົນກະທົບທີ່ເປັນອັນຕະລາຍໃນຂໍ້ມູນທີ່ໄດ້ຮັບ;
• ການເກັບຮັກສາສໍາລັບການສະສົມຂອງເຫດການຕົ້ນຕໍແລະຜົນການວິເຄາະ;
• console ການ​ຄຸ້ມ​ຄອງ​.

ໃນເບື້ອງຕົ້ນ, IDS ໄດ້ຖືກຈັດປະເພດຕາມສະຖານທີ່: ພວກເຂົາສາມາດສຸມໃສ່ການປົກປ້ອງແຕ່ລະ nodes (ລະບົບການກວດພົບການລ່ວງລະເມີດຂອງໂຮດຫຼື Host Intrusion Detection - HIDS) ຫຼືປົກປ້ອງເຄືອຂ່າຍຂອງບໍລິສັດທັງຫມົດ (Network-based ຫຼື Network Intrusion Detection System - NIDS). ມັນເປັນມູນຄ່າການກ່າວເຖິງອັນທີ່ເອີ້ນວ່າ. APIDS (Application protocol-based IDS): ເຂົາເຈົ້າຕິດຕາມຊຸດຂອງ application layer protocols ທີ່ຈຳກັດເພື່ອກວດຫາການໂຈມຕີສະເພາະ ແລະບໍ່ໄດ້ວິເຄາະແພັກເກັດເຄືອຂ່າຍເລິກໆ. ຜະລິດຕະພັນດັ່ງກ່າວປົກກະຕິແລ້ວຄ້າຍຄືກັບຕົວແທນແລະຖືກນໍາໃຊ້ເພື່ອປົກປ້ອງການບໍລິການສະເພາະ: ເຄື່ອງແມ່ຂ່າຍເວັບແລະຄໍາຮ້ອງສະຫມັກເວັບ (ຕົວຢ່າງ, ຂຽນໃນ PHP), ເຄື່ອງແມ່ຂ່າຍຂອງຖານຂໍ້ມູນ, ແລະອື່ນໆ. ຕົວແທນທົ່ວໄປຂອງຫ້ອງຮຽນນີ້ແມ່ນ mod_security ສໍາລັບເຄື່ອງແມ່ຂ່າຍເວັບໄຊຕ໌ Apache.

ພວກເຮົາມີຄວາມສົນໃຈຫຼາຍໃນ NIDS ທົ່ວໄປທີ່ສະຫນັບສະຫນູນລະດັບຄວາມກ້ວາງຂອງໂປໂຕຄອນການສື່ສານແລະ DPI (Deep Packet Inspection) ເຕັກໂນໂລຢີການວິເຄາະແພັກເກັດ. ພວກເຂົາເຈົ້າຕິດຕາມກວດກາການຈະລາຈອນທີ່ຜ່ານທັງຫມົດ, ເລີ່ມຕົ້ນຈາກຊັ້ນເຊື່ອມຕໍ່ຂໍ້ມູນ, ແລະກວດພົບການໂຈມຕີເຄືອຂ່າຍທີ່ກວ້າງຂວາງ, ເຊັ່ນດຽວກັນກັບການເຂົ້າເຖິງຂໍ້ມູນທີ່ບໍ່ໄດ້ຮັບອະນຸຍາດ. ປົກກະຕິແລ້ວລະບົບດັ່ງກ່າວມີສະຖາປັດຕະຍະກໍາແຈກຢາຍແລະສາມາດພົວພັນກັບອຸປະກອນເຄືອຂ່າຍທີ່ມີການເຄື່ອນໄຫວຕ່າງໆ. ໃຫ້ສັງເກດວ່າ NIDS ທີ່ທັນສະໄຫມຈໍານວນຫຼາຍແມ່ນປະສົມແລະປະສົມປະສານວິທີການຈໍານວນຫນຶ່ງ. ອີງຕາມການຕັ້ງຄ່າແລະການຕັ້ງຄ່າ, ພວກເຂົາສາມາດແກ້ໄຂບັນຫາຕ່າງໆ - ຕົວຢ່າງ, ການປົກປ້ອງຫນຶ່ງ node ຫຼືເຄືອຂ່າຍທັງຫມົດ. ນອກຈາກນັ້ນ, ຫນ້າທີ່ IDS ສໍາລັບສະຖານີເຮັດວຽກໄດ້ຖືກປະຕິບັດໂດຍຊຸດຕ້ານເຊື້ອໄວຣັສ, ເຊິ່ງເນື່ອງຈາກການແຜ່ກະຈາຍຂອງ Trojans ແນໃສ່ການລັກຂໍ້ມູນ, ໄດ້ກາຍເປັນ firewalls multifunctional ທີ່ຍັງແກ້ໄຂວຽກງານຂອງການຮັບຮູ້ແລະສະກັດກັ້ນການຈະລາຈອນທີ່ຫນ້າສົງໄສ.

ໃນເບື້ອງຕົ້ນ, IDS ພຽງແຕ່ສາມາດກວດພົບການເຄື່ອນໄຫວ malware, port scanners, ຫຼື, ເວົ້າວ່າ, ຜູ້ໃຊ້ລະເມີດນະໂຍບາຍຄວາມປອດໄພຂອງບໍລິສັດ. ເມື່ອເຫດການທີ່ແນ່ນອນເກີດຂຶ້ນ, ພວກເຂົາເຈົ້າໄດ້ແຈ້ງໃຫ້ຜູ້ເບິ່ງແຍງລະບົບ, ແຕ່ມັນໄດ້ກາຍເປັນທີ່ຊັດເຈນຢ່າງໄວວາວ່າພຽງແຕ່ຮັບຮູ້ການໂຈມຕີແມ່ນບໍ່ພຽງພໍ - ມັນຈໍາເປັນຕ້ອງຖືກສະກັດ. ດັ່ງນັ້ນ IDS ປ່ຽນເປັນ IPS (Intrusion Prevention Systems) - intrusion prevention systems that can interact with firewalls .

ວິທີການກວດຫາ

ການແກ້ໄຂການຊອກຄົ້ນຫາ ແລະປ້ອງກັນການບຸກລຸກທີ່ທັນສະໄໝໃຊ້ວິທີການຕ່າງໆເພື່ອກວດຫາກິດຈະກໍາທີ່ເປັນອັນຕະລາຍ, ເຊິ່ງສາມາດແບ່ງອອກເປັນສາມປະເພດ. ນີ້ເຮັດໃຫ້ພວກເຮົາມີທາງເລືອກອື່ນສໍາລັບລະບົບການຈັດປະເພດ:

• IDS/IPS ທີ່ອີງໃສ່ລາຍເຊັນຊອກຫາຮູບແບບໃນການຈະລາຈອນ ຫຼືຕິດຕາມການປ່ຽນແປງສະຖານະຂອງລະບົບເພື່ອກວດຫາການໂຈມຕີເຄືອຂ່າຍ ຫຼືຄວາມພະຍາຍາມຕິດເຊື້ອ. ພວກເຂົາເຈົ້າປະຕິບັດບໍ່ໄດ້ໃຫ້ misfires ແລະໃນທາງບວກທີ່ບໍ່ຖືກຕ້ອງ, ແຕ່ບໍ່ສາມາດກວດພົບໄພຂົ່ມຂູ່ທີ່ບໍ່ຮູ້;
• IDS ກວດຫາຄວາມຜິດປົກກະຕິບໍ່ໄດ້ໃຊ້ລາຍເຊັນການໂຈມຕີ. ພວກເຂົາຮັບຮູ້ພຶດຕິກໍາທີ່ຜິດປົກກະຕິຂອງລະບົບຂໍ້ມູນ (ລວມທັງຄວາມຜິດປົກກະຕິໃນການຈະລາຈອນເຄືອຂ່າຍ) ແລະສາມາດກວດພົບການໂຈມຕີທີ່ບໍ່ຮູ້ຈັກ. ລະບົບດັ່ງກ່າວໃຫ້ຂໍ້ດີທີ່ບໍ່ຖືກຕ້ອງຫຼາຍແລະ, ຖ້າຖືກນໍາໃຊ້ບໍ່ຖືກຕ້ອງ, ອໍາມະພາດການດໍາເນີນງານຂອງເຄືອຂ່າຍທ້ອງຖິ່ນ;
• IDS ທີ່ອີງໃສ່ກົດລະບຽບເຮັດວຽກຄື: ຖ້າ FACT ແລ້ວ ACTION. ໃນຄວາມເປັນຈິງ, ເຫຼົ່ານີ້ແມ່ນລະບົບຜູ້ຊ່ຽວຊານທີ່ມີພື້ນຖານຄວາມຮູ້ - ຊຸດຂອງຂໍ້ເທັດຈິງແລະກົດລະບຽບຂອງ inference. ການແກ້ໄຂດັ່ງກ່າວແມ່ນໃຊ້ເວລາຫຼາຍໃນການຕັ້ງຄ່າແລະຮຽກຮ້ອງໃຫ້ຜູ້ບໍລິຫານມີຄວາມເຂົ້າໃຈລະອຽດກ່ຽວກັບເຄືອຂ່າຍ. 

ປະຫວັດການພັດທະນາ IDS

ຍຸກຂອງການພັດທະນາຢ່າງໄວວາຂອງອິນເຕີເນັດແລະເຄືອຂ່າຍຂອງບໍລິສັດໄດ້ເລີ່ມຕົ້ນໃນ 90s ຂອງສະຕະວັດທີ່ຜ່ານມາ, ຢ່າງໃດກໍຕາມ, ຜູ້ຊ່ຽວຊານໄດ້ສັບສົນກັບເຕັກໂນໂລຊີຄວາມປອດໄພເຄືອຂ່າຍທີ່ກ້າວຫນ້າກ່ອນຫນ້ານັ້ນເລັກນ້ອຍ. ໃນປີ 1986, Dorothy Denning ແລະ Peter Neumann ເຜີຍແຜ່ແບບຈໍາລອງ IDES (ລະບົບຊ່ຽວຊານກວດຈັບການບຸກລຸກ), ເຊິ່ງໄດ້ກາຍເປັນພື້ນຖານຂອງລະບົບກວດຈັບການບຸກລຸກທີ່ທັນສະໄໝທີ່ສຸດ. ນາງໄດ້ໃຊ້ລະບົບຜູ້ຊ່ຽວຊານເພື່ອກໍານົດການໂຈມຕີທີ່ຮູ້ຈັກ, ເຊັ່ນດຽວກັນກັບວິທີການສະຖິຕິແລະໂປຣໄຟລ໌ຜູ້ໃຊ້ / ລະບົບ. IDES ແລ່ນຢູ່ໃນ Sun workstations, ກວດສອບການສັນຈອນເຄືອຂ່າຍ ແລະຂໍ້ມູນແອັບພລິເຄຊັນ. ໃນປີ 1993, NIDES (Next-generation Intrusion Detection Expert System) ໄດ້ຖືກປ່ອຍອອກມາ - new generation intrusion detection expert system .

ອີງຕາມການເຮັດວຽກຂອງ Denning ແລະ Neumann, ລະບົບຜູ້ຊ່ຽວຊານ MIDAS (Multics intrusion detection and alerting system) ປາກົດຢູ່ໃນ 1988, ການນໍາໃຊ້ P-BEST ແລະ LISP. ໃນເວລາດຽວກັນ, ລະບົບ Haystack ໂດຍອີງໃສ່ວິທີການສະຖິຕິໄດ້ຖືກສ້າງຂື້ນ. ເຄື່ອງກວດຈັບຜິດລັກທາງສະຖິຕິອີກອັນໜຶ່ງ, W&S (ປັນຍາ & Sense), ໄດ້ຖືກພັດທະນາຂຶ້ນໃນປີຕໍ່ມາຢູ່ຫ້ອງທົດລອງແຫ່ງຊາດ Los Alamos. ການ​ພັດ​ທະ​ນາ​ຂອງ​ອຸດ​ສາ​ຫະ​ກໍາ​ໄດ້​ດໍາ​ເນີນ​ໄປ​ຢ່າງ​ວ່ອງ​ໄວ​. ຕົວຢ່າງ, ໃນປີ 1990, ການກວດຫາຄວາມຜິດປົກກະຕິໄດ້ຖືກປະຕິບັດແລ້ວໃນລະບົບ TIM (Time-based inductive machine) ໂດຍໃຊ້ການຮຽນຮູ້ແບບ inductive ກ່ຽວກັບຮູບແບບຜູ້ໃຊ້ຕາມລໍາດັບ (ພາສາ LISP ທົ່ວໄປ). NSM (Network Security Monitor) ປຽບທຽບກັບ matrices ການເຂົ້າເຖິງສໍາລັບການກວດສອບຜິດປົກກະຕິ, ແລະ ISOA (ຜູ້ຊ່ວຍຂອງເຈົ້າຫນ້າທີ່ຄວາມປອດໄພຂໍ້ມູນ) ສະຫນັບສະຫນູນກົນລະຍຸດການກວດສອບຕ່າງໆ: ວິທີການສະຖິຕິ, ການກວດສອບໂປຣໄຟລ໌ແລະລະບົບຜູ້ຊ່ຽວຊານ. ລະບົບ ComputerWatch ທີ່ຖືກສ້າງຂື້ນຢູ່ AT & T Bell Labs ໃຊ້ທັງວິທີການທາງສະຖິຕິແລະກົດລະບຽບສໍາລັບການກວດສອບ, ແລະຜູ້ພັດທະນາຂອງມະຫາວິທະຍາໄລຄາລິຟໍເນຍໄດ້ຮັບຕົ້ນແບບທໍາອິດຂອງ IDS ທີ່ຖືກແຈກຢາຍກັບຄືນໄປບ່ອນໃນປີ 1991 - DIDS (ລະບົບການກວດສອບການລ່ວງລະເມີດທີ່ແຈກຢາຍ) ຍັງເປັນຜູ້ຊ່ຽວຊານ. ລະບົບ.

ໃນຕອນທໍາອິດ, IDS ແມ່ນເປັນເຈົ້າຂອງ, ແຕ່ແລ້ວໃນປີ 1998, ຫ້ອງທົດລອງແຫ່ງຊາດ. Lawrence ຢູ່ Berkeley ປ່ອຍ Bro (ປ່ຽນຊື່ Zeek ໃນປີ 2018), ລະບົບແຫຼ່ງເປີດທີ່ໃຊ້ພາສາກົດລະບຽບຂອງຕົນເອງເພື່ອວິເຄາະຂໍ້ມູນ libpcap. ໃນເດືອນພະຈິກຂອງປີດຽວກັນ, APE packet sniffer ໂດຍໃຊ້ libpcap ປາກົດ, ເຊິ່ງຫນຶ່ງເດືອນຕໍ່ມາໄດ້ຖືກປ່ຽນຊື່ເປັນ Snort, ແລະຕໍ່ມາໄດ້ກາຍເປັນ IDS / IPS ເຕັມຮູບແບບ. ໃນ​ເວ​ລາ​ດຽວ​ກັນ​, ວິ​ທີ​ແກ້​ໄຂ​ທີ່​ເປັນ​ກໍາ​ມະ​ສິດ​ຈໍາ​ນວນ​ຫຼາຍ​ໄດ້​ເລີ່ມ​ຕົ້ນ​ທີ່​ຈະ​ປາ​ກົດ​ຂຶ້ນ​.

Snort ແລະ Suricata

ຫຼາຍບໍລິສັດມັກ IDS/IPS ແຫຼ່ງທີ່ບໍ່ເສຍຄ່າ ແລະເປີດ. ສໍາລັບເວລາດົນນານ, Snort ທີ່ໄດ້ກ່າວມາແລ້ວໄດ້ຖືກພິຈາລະນາເປັນການແກ້ໄຂມາດຕະຖານ, ແຕ່ໃນປັດຈຸບັນມັນໄດ້ຖືກທົດແທນໂດຍລະບົບ Suricata. ພິຈາລະນາຂໍ້ດີແລະຂໍ້ເສຍຂອງພວກເຂົາໃນລາຍລະອຽດເລັກນ້ອຍ. Snort ລວມເອົາຂໍ້ດີຂອງວິທີການລາຍເຊັນທີ່ມີຄວາມສາມາດໃນການກວດຫາຄວາມຜິດປົກກະຕິໃນເວລາຈິງ. Suricata ຍັງອະນຸຍາດໃຫ້ວິທີການອື່ນໆນອກເຫນືອຈາກການກວດຫາລາຍເຊັນການໂຈມຕີ. ລະບົບດັ່ງກ່າວຖືກສ້າງຂຶ້ນໂດຍກຸ່ມນັກພັດທະນາທີ່ແຍກອອກຈາກໂຄງການ Snort ແລະສະຫນັບສະຫນູນຄຸນສົມບັດ IPS ຕັ້ງແຕ່ຮຸ່ນ 1.4, ແລະການປ້ອງກັນການບຸກລຸກປາກົດຢູ່ໃນ Snort ຕໍ່ມາ.

ຄວາມແຕກຕ່າງຕົ້ນຕໍລະຫວ່າງສອງຜະລິດຕະພັນທີ່ນິຍົມແມ່ນຄວາມສາມາດຂອງ Suricata ໃນການນໍາໃຊ້ GPU ສໍາລັບຄອມພິວເຕີ້ IDS, ເຊັ່ນດຽວກັນກັບ IPS ກ້າວຫນ້າທາງດ້ານຫຼາຍ. ລະບົບດັ່ງກ່າວໄດ້ຖືກອອກແບບໃນເບື້ອງຕົ້ນສໍາລັບການຫຼາຍ threading, ໃນຂະນະທີ່ Snort ເປັນຜະລິດຕະພັນກະທູ້ດຽວ. ເນື່ອງຈາກປະຫວັດອັນຍາວນານແລະລະຫັດມໍລະດົກຂອງມັນ, ມັນບໍ່ໄດ້ເຮັດໃຫ້ການນໍາໃຊ້ທີ່ດີທີ່ສຸດຂອງ multi-processor / multi-core hardware platforms, ໃນຂະນະທີ່ Suricata ສາມາດຈັດການການຈະລາຈອນໄດ້ເຖິງ 10 Gbps ໃນຄອມພິວເຕີທົ່ວໄປທົ່ວໄປ. ທ່ານສາມາດສົນທະນາກ່ຽວກັບຄວາມຄ້າຍຄືກັນແລະຄວາມແຕກຕ່າງລະຫວ່າງສອງລະບົບເປັນເວລາດົນນານ, ແຕ່ເຖິງແມ່ນວ່າເຄື່ອງຈັກ Suricata ເຮັດວຽກໄວ, ສໍາລັບຊ່ອງທາງທີ່ບໍ່ກວ້າງເກີນໄປມັນກໍ່ບໍ່ສໍາຄັນ.

ທາງເລືອກໃນການນຳໃຊ້

IPS ຕ້ອງຖືກຈັດໃສ່ໃນລັກສະນະທີ່ລະບົບສາມາດຕິດຕາມສ່ວນເຄືອຂ່າຍພາຍໃຕ້ການຄວບຄຸມຂອງມັນ. ສ່ວນຫຼາຍມັກ, ນີ້ແມ່ນຄອມພິວເຕີທີ່ອຸທິດຕົນ, ຫນຶ່ງໃນການໂຕ້ຕອບທີ່ເຊື່ອມຕໍ່ຫຼັງຈາກອຸປະກອນຂອບແລະ "ເບິ່ງ" ຜ່ານພວກມັນໄປຫາເຄືອຂ່າຍສາທາລະນະທີ່ບໍ່ປອດໄພ (ອິນເຕີເນັດ). ການໂຕ້ຕອບ IPS ອື່ນແມ່ນເຊື່ອມຕໍ່ກັບການປ້ອນຂໍ້ມູນຂອງສ່ວນທີ່ຖືກປ້ອງກັນເພື່ອໃຫ້ການຈະລາຈອນທັງຫມົດຜ່ານລະບົບແລະຖືກວິເຄາະ. ໃນກໍລະນີທີ່ສັບສົນຫຼາຍ, ອາດຈະມີຫຼາຍພາກສ່ວນປ້ອງກັນ: ຕົວຢ່າງ, ໃນເຄືອຂ່າຍຂອງບໍລິສັດ, ເຂດປອດທະຫານ (DMZ) ມັກຈະຖືກຈັດສັນໃຫ້ກັບການບໍລິການທີ່ສາມາດເຂົ້າເຖິງໄດ້ຈາກອິນເຕີເນັດ.

IPS ດັ່ງກ່າວສາມາດປ້ອງກັນການສະແກນພອດ ຫຼືການໂຈມຕີແບບບັງເອີນ, ການຂູດຮີດຊ່ອງໂຫວ່ໃນເຊີບເວີເມລ, ເຊີບເວີເວັບ ຫຼືສະຄຣິບ, ລວມທັງການໂຈມຕີພາຍນອກປະເພດອື່ນໆ. ຖ້າຄອມພິວເຕີຢູ່ໃນເຄືອຂ່າຍທ້ອງຖິ່ນຕິດເຊື້ອ malware, IDS ຈະບໍ່ອະນຸຍາດໃຫ້ພວກເຂົາຕິດຕໍ່ກັບເຄື່ອງແມ່ຂ່າຍຂອງ botnet ທີ່ຢູ່ນອກ. ການປົກປ້ອງທີ່ຮຸນແຮງກວ່າຂອງເຄືອຂ່າຍພາຍໃນສ່ວນຫຼາຍອາດຈະຮຽກຮ້ອງໃຫ້ມີການຕັ້ງຄ່າທີ່ສັບສົນກັບລະບົບການແຈກຢາຍແລະສະວິດທີ່ມີການຄຸ້ມຄອງລາຄາແພງທີ່ສາມາດສະທ້ອນການຈະລາຈອນສໍາລັບການໂຕ້ຕອບ IDS ທີ່ເຊື່ອມຕໍ່ກັບຫນຶ່ງໃນພອດ.

ເລື້ອຍໆເຄືອຂ່າຍຂອງບໍລິສັດແມ່ນຂຶ້ນກັບການໂຈມຕີປະຕິເສດການບໍລິການ (DDoS). ເຖິງແມ່ນວ່າ IDSs ທີ່ທັນສະໄຫມສາມາດຈັດການກັບພວກມັນໄດ້, ທາງເລືອກໃນການຕິດຕັ້ງຂ້າງເທິງແມ່ນມີປະໂຫຍດຫນ້ອຍທີ່ນີ້. ລະບົບຮັບຮູ້ກິດຈະກໍາທີ່ເປັນອັນຕະລາຍແລະຂັດຂວາງການຈະລາຈອນທີ່ຂີ້ຮ້າຍ, ແຕ່ສໍາລັບການນີ້, ແພັກເກັດຕ້ອງຜ່ານການເຊື່ອມຕໍ່ອິນເຕີເນັດພາຍນອກແລະເຂົ້າເຖິງການໂຕ້ຕອບເຄືອຂ່າຍຂອງມັນ. ອີງຕາມຄວາມເຂັ້ມຂຸ້ນຂອງການໂຈມຕີ, ຊ່ອງທາງການສົ່ງຂໍ້ມູນອາດຈະບໍ່ສາມາດຮັບມືກັບການໂຫຼດໄດ້ແລະເປົ້າຫມາຍຂອງຜູ້ໂຈມຕີຈະບັນລຸໄດ້. ສຳລັບກໍລະນີດັ່ງກ່າວ, ພວກເຮົາແນະນຳໃຫ້ນຳໃຊ້ IDS ຢູ່ໃນເຊີບເວີສະເໝືອນທີ່ມີການເຊື່ອມຕໍ່ອິນເຕີເນັດທີ່ຮູ້ຈັກດີກວ່າ. ທ່ານ​ສາ​ມາດ​ເຊື່ອມ​ຕໍ່ VPS ກັບ​ເຄືອ​ຂ່າຍ​ທ້ອງ​ຖິ່ນ​ໂດຍ​ຜ່ານ VPN ເປັນ​, ແລະ​ຫຼັງ​ຈາກ​ນັ້ນ​ທ່ານ​ຈະ​ຈໍາ​ເປັນ​ຕ້ອງ​ໄດ້​ກໍາ​ນົດ​ເສັ້ນ​ທາງ​ຂອງ​ການ​ຈະ​ລາ​ຈອນ​ພາຍ​ນອກ​ທັງ​ຫມົດ​ໂດຍ​ຜ່ານ​ການ​ມັນ​. ຫຼັງຈາກນັ້ນ, ໃນກໍລະນີຂອງການໂຈມຕີ DDoS, ທ່ານຈະບໍ່ຈໍາເປັນຕ້ອງຂັບລົດແພັກເກັດຜ່ານການເຊື່ອມຕໍ່ກັບຜູ້ໃຫ້ບໍລິການ, ພວກມັນຈະຖືກສະກັດຢູ່ໃນໂຮດພາຍນອກ.

ບັນຫາຂອງການເລືອກ

ມັນເປັນການຍາກຫຼາຍທີ່ຈະກໍານົດຜູ້ນໍາລະຫວ່າງລະບົບຟຣີ. ທາງເລືອກຂອງ IDS / IPS ຖືກກໍານົດໂດຍ topology ເຄືອຂ່າຍ, ລັກສະນະຄວາມປອດໄພທີ່ຈໍາເປັນ, ເຊັ່ນດຽວກັນກັບຄວາມມັກສ່ວນບຸກຄົນຂອງຜູ້ບໍລິຫານແລະຄວາມປາຖະຫນາຂອງລາວທີ່ຈະ fiddle ກັບການຕັ້ງຄ່າ. Snort ມີປະຫວັດຍາວກວ່າແລະມີເອກະສານທີ່ດີກວ່າ, ເຖິງແມ່ນວ່າຂໍ້ມູນກ່ຽວກັບ Suricata ຍັງງ່າຍຕໍ່ການຊອກຫາອອນໄລນ໌. ໃນກໍລະນີໃດກໍ່ຕາມ, ເພື່ອຊໍານິຊໍານານລະບົບ, ທ່ານຈະຕ້ອງໃຊ້ຄວາມພະຍາຍາມບາງຢ່າງ, ເຊິ່ງໃນທີ່ສຸດກໍ່ຈະຈ່າຍອອກ - ຮາດແວການຄ້າແລະອຸປະກອນ hardware-software IDS / IPS ແມ່ນຂ້ອນຂ້າງແພງແລະບໍ່ເຫມາະສົມກັບງົບປະມານ. ທ່ານບໍ່ຄວນເສຍໃຈກັບເວລາທີ່ໃຊ້ເວລາ, ເພາະວ່າຜູ້ບໍລິຫານທີ່ດີສະເຫມີປັບປຸງຄຸນສົມບັດຂອງຕົນໂດຍຄ່າໃຊ້ຈ່າຍຂອງນາຍຈ້າງ. ໃນສະຖານະການນີ້, ທຸກຄົນຊະນະ. ໃນບົດຄວາມຕໍ່ໄປ, ພວກເຮົາຈະເບິ່ງບາງທາງເລືອກສໍາລັບການນໍາໃຊ້ Suricata ແລະປຽບທຽບລະບົບທີ່ທັນສະໄຫມຫຼາຍກັບ IDS / IPS Snort ຄລາສສິກໃນການປະຕິບັດ.

ແຫຼ່ງຂໍ້ມູນ: www.habr.com