Snort ຫຼື Suricata. ສ່ວນທີ 2: ການຕິດຕັ້ງແລະການຕິດຕັ້ງເບື້ອງຕົ້ນຂອງ Suricata

ອີງຕາມສະຖິຕິ, ປະລິມານການຈະລາຈອນເຄືອຂ່າຍເພີ່ມຂຶ້ນປະມານ 50% ໃນແຕ່ລະປີ. ນີ້ນໍາໄປສູ່ການເພີ່ມຂື້ນຂອງການໂຫຼດໃນອຸປະກອນແລະ, ໂດຍສະເພາະ, ເພີ່ມຄວາມຕ້ອງການການປະຕິບັດຂອງ IDS / IPS. ທ່ານສາມາດຊື້ຮາດແວພິເສດທີ່ມີລາຄາແພງ, ແຕ່ມີທາງເລືອກທີ່ມີລາຄາຖືກກວ່າ - ການປະຕິບັດຫນຶ່ງໃນລະບົບແຫຼ່ງເປີດ. ຜູ້ບໍລິຫານຈົວຫຼາຍຄົນຄິດວ່າການຕິດຕັ້ງແລະການຕັ້ງຄ່າ IPS ຟຣີແມ່ນຂ້ອນຂ້າງຍາກ. ໃນກໍລະນີຂອງ Suricata, ນີ້ບໍ່ແມ່ນຄວາມຈິງທັງຫມົດ - ທ່ານສາມາດຕິດຕັ້ງມັນແລະເລີ່ມຕົ້ນ repelling ການໂຈມຕີມາດຕະຖານທີ່ມີຊຸດຂອງກົດລະບຽບຟຣີໃນສອງສາມນາທີ.

Snort ຫຼື Suricata. ສ່ວນທີ 1: ການເລືອກ IDS/IPS ຟຣີເພື່ອປົກປ້ອງເຄືອຂ່າຍອົງກອນຂອງທ່ານ

ເປັນຫຍັງພວກເຮົາຕ້ອງການ IPS ເປີດອື່ນ?

ຍາວພິຈາລະນາມາດຕະຖານ, Snort ໄດ້ຢູ່ໃນການພັດທະນາຕັ້ງແຕ່ທ້າຍ nineties, ສະນັ້ນມັນດັ້ງເດີມເປັນກະທູ້ດຽວ. ໃນຊຸມປີມໍ່ໆມານີ້, ມັນໄດ້ຮັບຄຸນສົມບັດທີ່ທັນສະໄຫມທັງຫມົດ, ເຊັ່ນ: ການສະຫນັບສະຫນູນ IPv6, ຄວາມສາມາດໃນການວິເຄາະໂປໂຕຄອນລະດັບຄໍາຮ້ອງສະຫມັກ, ຫຼືໂມດູນການເຂົ້າເຖິງຂໍ້ມູນທົ່ວໄປ.

ເຄື່ອງຈັກ Snort 2.X ພື້ນຖານໄດ້ຮຽນຮູ້ທີ່ຈະເຮັດວຽກກັບຫຼາຍແກນ, ແຕ່ຍັງຄົງເປັນກະທູ້ດຽວ ແລະດັ່ງນັ້ນຈຶ່ງບໍ່ສາມາດໃຊ້ປະໂຫຍດຈາກເວທີຮາດແວທີ່ທັນສະໄຫມໄດ້ດີທີ່ສຸດ.

ບັນຫາໄດ້ຖືກແກ້ໄຂໃນສະບັບທີສາມຂອງລະບົບ, ແຕ່ມັນໃຊ້ເວລາດົນຫຼາຍໃນການກະກຽມທີ່ Suricata, ລາຍລັກອັກສອນຈາກ scratch, ຈັດການທີ່ຈະປາກົດຢູ່ໃນຕະຫຼາດ. ໃນປີ 2009, ມັນໄດ້ເລີ່ມຕົ້ນທີ່ຈະພັດທະນາຢ່າງແນ່ນອນເປັນທາງເລືອກທີ່ມີຫຼາຍກະທູ້ກັບ Snort, ເຊິ່ງມີຫນ້າທີ່ IPS ອອກຈາກກ່ອງ. ລະຫັດໄດ້ຖືກແຈກຢາຍພາຍໃຕ້ໃບອະນຸຍາດ GPLv2, ແຕ່ຄູ່ຮ່ວມງານທາງດ້ານການເງິນຂອງໂຄງການມີການເຂົ້າເຖິງເຄື່ອງຈັກໃນສະບັບປິດ. ບາງບັນຫາກ່ຽວກັບການຂະຫຍາຍໄດ້ເກີດຂື້ນໃນຮຸ່ນທໍາອິດຂອງລະບົບ, ແຕ່ພວກມັນຖືກແກ້ໄຂຢ່າງໄວວາ.

ເປັນຫຍັງ Suricata?

Suricata ມີຫຼາຍໂມດູນ (ເຊັ່ນ: Snort): ການຈັບ, ການຊື້, ການຖອດລະຫັດ, ການຊອກຄົ້ນຫາແລະຜົນຜະລິດ. ໂດຍຄ່າເລີ່ມຕົ້ນ, ການຈະລາຈອນທີ່ຖືກຈັບໄປກ່ອນທີ່ຈະຖອດລະຫັດໃນຫນຶ່ງຫົວຂໍ້, ເຖິງແມ່ນວ່ານີ້ຈະໂຫລດລະບົບຫຼາຍ. ຖ້າຈໍາເປັນ, ກະທູ້ສາມາດແບ່ງອອກໄດ້ໃນການຕັ້ງຄ່າແລະແຈກຢາຍລະຫວ່າງໂປເຊດເຊີ - Suricata ໄດ້ຖືກປັບປຸງດີຫຼາຍສໍາລັບຮາດແວສະເພາະ, ເຖິງແມ່ນວ່ານີ້ບໍ່ແມ່ນລະດັບ HOWTO ສໍາລັບຜູ້ເລີ່ມຕົ້ນ. ມັນຍັງເປັນມູນຄ່າທີ່ສັງເກດວ່າ Suricata ມີເຄື່ອງມືກວດສອບ HTTP ຂັ້ນສູງໂດຍອີງໃສ່ຫ້ອງສະຫມຸດ HTP. ພວກເຂົາເຈົ້າຍັງສາມາດຖືກນໍາໃຊ້ເພື່ອບັນທຶກການຈະລາຈອນໂດຍບໍ່ມີການກວດພົບ. ລະບົບຍັງຮອງຮັບການຖອດລະຫັດ IPv6, ລວມທັງອຸໂມງ IPv4-in-IPv6, IPv6-in-IPv6 ແລະອື່ນໆ.

ການໂຕ້ຕອບທີ່ແຕກຕ່າງກັນສາມາດຖືກນໍາໃຊ້ເພື່ອຂັດຂວາງການຈະລາຈອນ (NFQueue, IPFRing, LibPcap, IPFW, AF_PACKET, PF_RING), ແລະໃນໂຫມດ Unix Socket ທ່ານສາມາດວິເຄາະໄຟລ໌ PCAP ທີ່ຖືກຈັບໂດຍ sniffer ອື່ນໂດຍອັດຕະໂນມັດ. ນອກຈາກນັ້ນ, ສະຖາປັດຕະຍະກໍາແບບໂມດູນຂອງ Suricata ເຮັດໃຫ້ມັນງ່າຍຕໍ່ການເຊື່ອມຕໍ່ອົງປະກອບໃຫມ່ເພື່ອເກັບກໍາ, ຖອດລະຫັດ, ວິເຄາະແລະຂະບວນການຫຸ້ມຫໍ່ເຄືອຂ່າຍ. ມັນຍັງມີຄວາມສໍາຄັນທີ່ຈະສັງເກດວ່າໃນ Suricata, ການຈະລາຈອນຖືກບລັອກໂດຍໃຊ້ຕົວກອງຂອງລະບົບປະຕິບັດການມາດຕະຖານ. ໃນ GNU/Linux, ສອງທາງເລືອກສໍາລັບການດໍາເນີນງານ IPS ແມ່ນມີຢູ່: ຜ່ານແຖວ NFQUEUE (ໂຫມດ NFQ) ແລະຜ່ານສູນສໍາເນົາ (AF_PACKET mode). ໃນກໍລະນີທໍາອິດ, packet ເຂົ້າໄປໃນ iptables ຖືກສົ່ງໄປຫາຄິວ NFQUEUE, ບ່ອນທີ່ມັນສາມາດຖືກປຸງແຕ່ງໃນລະດັບຜູ້ໃຊ້. Suricata ດໍາເນີນການມັນຕາມກົດລະບຽບຂອງຕົນເອງແລະອອກຫນຶ່ງໃນສາມຄໍາຕັດສິນ: NF_ACCEPT, NF_DROP ແລະ NF_REPEAT. ສອງອັນທໍາອິດແມ່ນຄໍາອະທິບາຍດ້ວຍຕົນເອງ, ແຕ່ອັນສຸດທ້າຍຊ່ວຍໃຫ້ທ່ານສາມາດຫມາຍໃສ່ແພັກເກັດແລະສົ່ງໄປຫາຈຸດເລີ່ມຕົ້ນຂອງຕາຕະລາງ iptables ໃນປະຈຸບັນ. ໂຫມດ AF_PACKET ແມ່ນໄວຂຶ້ນ, ແຕ່ວາງຂໍ້ຈໍາກັດຈໍານວນຫນຶ່ງໃນລະບົບ: ມັນຕ້ອງມີສອງຕົວເຊື່ອມຕໍ່ເຄືອຂ່າຍແລະເຮັດວຽກເປັນປະຕູ. ແພັກເກັດທີ່ຖືກບລັອກແມ່ນບໍ່ໄດ້ສົ່ງຕໍ່ໄປຫາສ່ວນຕິດຕໍ່ທີສອງ.

ຄຸນນະສົມບັດທີ່ສໍາຄັນຂອງ Suricata ແມ່ນຄວາມສາມາດໃນການນໍາໃຊ້ການພັດທະນາສໍາລັບ Snort. ຜູ້ບໍລິຫານສາມາດເຂົ້າເຖິງ, ໂດຍສະເພາະ, Sourcefire VRT ແລະ OpenSource Emerging Threats ກໍານົດກົດລະບຽບ, ເຊັ່ນດຽວກັນກັບການຄ້າ Emerging Threats Pro. ຜົນຜະລິດທີ່ເປັນເອກະພາບສາມາດຖືກວິເຄາະໂດຍໃຊ້ backends ທີ່ນິຍົມ, ແລະຜົນຜະລິດໄປຍັງ PCAP ແລະ Syslog ແມ່ນສະຫນັບສະຫນູນ. ການຕັ້ງຄ່າລະບົບແລະກົດລະບຽບຖືກເກັບໄວ້ໃນໄຟລ໌ YAML, ເຊິ່ງງ່າຍຕໍ່ການອ່ານແລະສາມາດດໍາເນີນການໄດ້ໂດຍອັດຕະໂນມັດ. ເຄື່ອງຈັກ Suricata ຮັບຮູ້ຫຼາຍໂປໂຕຄອນ, ດັ່ງນັ້ນກົດລະບຽບບໍ່ຈໍາເປັນຕ້ອງຖືກຜູກມັດກັບຫມາຍເລກພອດ. ນອກຈາກນັ້ນ, ແນວຄວາມຄິດຂອງ flowbits ແມ່ນປະຕິບັດຢ່າງຈິງຈັງໃນກົດລະບຽບ Suricata. ເພື່ອຕິດຕາມການກະຕຸ້ນ, ຕົວແປຂອງເຊດຊັນໄດ້ຖືກນໍາໃຊ້, ເຊິ່ງອະນຸຍາດໃຫ້ທ່ານສ້າງແລະນໍາໃຊ້ຕົວນັບແລະທຸງຕ່າງໆ. IDSs ຈໍານວນຫຼາຍປະຕິບັດການເຊື່ອມຕໍ່ TCP ທີ່ແຕກຕ່າງກັນເປັນຫນ່ວຍງານແຍກຕ່າງຫາກແລະອາດຈະບໍ່ເຫັນການເຊື່ອມຕໍ່ລະຫວ່າງພວກມັນເພື່ອຊີ້ໃຫ້ເຫັນເຖິງການເລີ່ມຕົ້ນຂອງການໂຈມຕີ. Suricata ພະຍາຍາມເບິ່ງຮູບພາບທັງຫມົດແລະໃນຫຼາຍໆກໍລະນີຮັບຮູ້ການຈະລາຈອນທີ່ເປັນອັນຕະລາຍທີ່ແຈກຢາຍໃນທົ່ວການເຊື່ອມຕໍ່ທີ່ແຕກຕ່າງກັນ. ພວກ​ເຮົາ​ສາ​ມາດ​ສົນ​ທະ​ນາ​ກ່ຽວ​ກັບ​ຄວາມ​ໄດ້​ປຽບ​ຂອງ​ມັນ​ເປັນ​ເວ​ລາ​ດົນ​ນານ​; ພວກ​ເຮົາ​ຈະ​ດີກ​ວ່າ​ໄປ​ຫາ​ການ​ຕິດ​ຕັ້ງ​ແລະ​ການ​ຕັ້ງ​ຄ່າ​.

ວິທີການຕິດຕັ້ງ?

ພວກເຮົາຈະຕິດຕັ້ງ Suricata ໃນເຊີບເວີສະເໝືອນທີ່ໃຊ້ Ubuntu 18.04 LTS. ຄໍາສັ່ງທັງຫມົດຕ້ອງໄດ້ຮັບການປະຕິບັດເປັນ superuser (ຮາກ). ທາງເລືອກທີ່ປອດໄພທີ່ສຸດແມ່ນການເຊື່ອມຕໍ່ກັບເຄື່ອງແມ່ຂ່າຍຜ່ານ SSH ເປັນຜູ້ໃຊ້ມາດຕະຖານ, ແລະຫຼັງຈາກນັ້ນໃຊ້ sudo utility ເພື່ອຂະຫຍາຍສິດທິພິເສດ. ກ່ອນອື່ນ ໝົດ ພວກເຮົາຕ້ອງຕິດຕັ້ງແພັກເກັດທີ່ພວກເຮົາຕ້ອງການ:

sudo apt -y install libpcre3 libpcre3-dev build-essential autoconf automake libtool libpcap-dev libnet1-dev libyaml-0-2 libyaml-dev zlib1g zlib1g-dev libmagic-dev libcap-ng-dev libjansson-dev pkg-config libnetfilter-queue-dev geoip-bin geoip-database geoipupdate apt-transport-https

ເຊື່ອມຕໍ່ບ່ອນເກັບຂໍ້ມູນພາຍນອກ:

sudo add-apt-repository ppa:oisf/suricata-stable
sudo apt-get update

ຕິດຕັ້ງ Suricata ເວີຊັນທີ່ໝັ້ນຄົງຫຼ້າສຸດ:

sudo apt-get install suricata

ຖ້າຈໍາເປັນ, ແກ້ໄຂຊື່ໄຟລ໌ການຕັ້ງຄ່າ, ແທນທີ່ eth0 ເລີ່ມຕົ້ນດ້ວຍຊື່ທີ່ແທ້ຈິງຂອງການໂຕ້ຕອບພາຍນອກຂອງເຄື່ອງແມ່ຂ່າຍ. ການຕັ້ງຄ່າເລີ່ມຕົ້ນຖືກເກັບໄວ້ໃນໄຟລ໌ /etc/default/suricata, ແລະການຕັ້ງຄ່າແບບກຳນົດເອງຈະຖືກເກັບໄວ້ໃນ /etc/suricata/suricata.yaml. ການຕັ້ງຄ່າ IDS ສ່ວນຫຼາຍແມ່ນຈໍາກັດການແກ້ໄຂໄຟລ໌ການຕັ້ງຄ່ານີ້. ມັນມີຕົວກໍານົດການຈໍານວນຫຼາຍທີ່, ໃນຊື່ແລະຈຸດປະສົງ, coincide ກັບ analogues ຂອງເຂົາເຈົ້າຈາກ Snort. ຢ່າງໃດກໍຕາມ, syntax ແມ່ນແຕກຕ່າງກັນຫມົດ, ແຕ່ໄຟລ໌ແມ່ນອ່ານງ່າຍກວ່າ Snort configs, ແລະມັນຍັງມີຄໍາເຫັນດີ.

sudo nano /etc/default/suricata

и

sudo nano /etc/suricata/suricata.yaml

ເອົາໃຈໃສ່! ກ່ອນທີ່ຈະເລີ່ມຕົ້ນ, ທ່ານຄວນກວດເບິ່ງຄ່າຂອງຕົວແປຈາກພາກ vars.

ເພື່ອສໍາເລັດການຕິດຕັ້ງ, ທ່ານຈະຕ້ອງຕິດຕັ້ງ suricata-update ເພື່ອປັບປຸງແລະດາວໂຫລດກົດລະບຽບ. ມັນຂ້ອນຂ້າງງ່າຍທີ່ຈະເຮັດສິ່ງນີ້:

sudo apt install python-pip
sudo pip install pyyaml
sudo pip install <a href="https://github.com/OISF/suricata-update/archive/master.zip">https://github.com/OISF/suricata-update/archive/master.zip</a>
sudo pip install --pre --upgrade suricata-update

ຕໍ່ໄປ, ພວກເຮົາຈໍາເປັນຕ້ອງດໍາເນີນການຄໍາສັ່ງ suricata-update ເພື່ອຕິດຕັ້ງ Emerging Threats Open ruleset:

sudo suricata-update

ເພື່ອເບິ່ງລາຍຊື່ແຫຼ່ງກົດລະບຽບ, ດໍາເນີນການຄໍາສັ່ງຕໍ່ໄປນີ້:

sudo suricata-update list-sources

ອັບເດດແຫຼ່ງກົດລະບຽບ:

sudo suricata-update update-sources

ພວກເຮົາເບິ່ງອີກເທື່ອຫນຶ່ງຢູ່ໃນແຫຼ່ງການປັບປຸງ:

sudo suricata-update list-sources

ຖ້າຈໍາເປັນ, ທ່ານສາມາດປະກອບມີແຫຼ່ງທີ່ບໍ່ເສຍຄ່າທີ່ມີຢູ່:

sudo suricata-update enable-source ptresearch/attackdetection
sudo suricata-update enable-source oisf/trafficid
sudo suricata-update enable-source sslbl/ssl-fp-blacklist

ຫຼັງຈາກນີ້, ທ່ານຈໍາເປັນຕ້ອງປັບປຸງກົດລະບຽບອີກເທື່ອຫນຶ່ງ:

sudo suricata-update

ໃນຈຸດນີ້, ການຕິດຕັ້ງແລະການຕັ້ງຄ່າເບື້ອງຕົ້ນຂອງ Suricata ໃນ Ubuntu 18.04 LTS ສາມາດໄດ້ຮັບການພິຈາລະນາສໍາເລັດ. ຫຼັງຈາກນັ້ນ, ຄວາມສະຫນຸກສະຫນານເລີ່ມຕົ້ນ: ໃນບົດຄວາມຕໍ່ໄປພວກເຮົາຈະເຊື່ອມຕໍ່ເຄື່ອງແມ່ຂ່າຍ virtual ກັບເຄືອຂ່າຍຫ້ອງການຜ່ານ VPN ແລະເລີ່ມຕົ້ນການວິເຄາະການເຂົ້າຊົມທັງຫມົດຂາເຂົ້າແລະຂາອອກ. ພວກເຮົາຈະໃຫ້ຄວາມສົນໃຈເປັນພິເສດຕໍ່ການຂັດຂວາງການໂຈມຕີ DDoS, ການເຄື່ອນໄຫວຂອງ malware, ແລະຄວາມພະຍາຍາມເພື່ອຂູດຮີດຊ່ອງໂຫວ່ໃນການບໍລິການທີ່ສາມາດເຂົ້າເຖິງໄດ້ຈາກເຄືອຂ່າຍສາທາລະນະ. ເພື່ອຄວາມຊັດເຈນ, ການໂຈມຕີຂອງປະເພດທົ່ວໄປທີ່ສຸດຈະຖືກຈໍາລອງ.

ແຫຼ່ງຂໍ້ມູນ: www.habr.com