Снорт или Суриката. Дел 1: Избор на бесплатен IDS/IPS за заштита на вашата корпоративна мрежа

Некогаш, обичен заштитен ѕид и антивирусни програми беа доволни за заштита на локалната мрежа, но таквиот сет веќе не е доволно ефикасен против нападите на современите хакери и малициозен софтвер кој се прошири неодамна. Стариот добар заштитен ѕид ги анализира само заглавијата на пакетите, дозволувајќи или блокирајќи ги според збир на формални правила. Тој не знае ништо за содржината на пакетите и затоа не може да ги препознае навидум легитимните дејства на напаѓачите. Антивирусните програми не секогаш фаќаат малициозен софтвер, така што администраторот се соочува со задача да ја следи абнормалната активност и навремено да ги изолира заразените домаќини.

Постојат многу напредни алатки достапни за заштита на ИТ инфраструктурата на компанијата. Денес ќе зборуваме за системи за откривање и спречување на упад со отворен код, кои можат да се имплементираат без купување скапа опрема и софтверски лиценци.

Класификација IDS/IPS

IDS (Intrusion Detection System) е систем дизајниран да регистрира сомнителни активности на мрежа или на индивидуален компјутер. Ги чува дневниците за настани и го известува вработениот одговорен за безбедноста на информациите за нив. Следниве елементи може да се разликуваат како дел од IDS:

• сензори за прегледување на мрежниот сообраќај, разни дневници итн. 
• потсистем за анализа кој идентификува знаци на злонамерно влијание во примените податоци;
• складирање за акумулација на примарни настани и резултати од анализата;
• управувачка конзола.

Првично, IDS беа класифицирани по локација: тие можеа да се фокусираат на заштита на поединечни јазли (заснован на домаќин или систем за откривање на упад на домаќин - HIDS) или заштита на целата корпоративна мрежа (базиран на мрежа или Систем за откривање на упад во мрежа - NIDS). Вреди да се спомене т.н APIDS (IDS базиран на протокол на апликација): Тие следат ограничен сет на протоколи на ниво на апликација за да идентификуваат конкретни напади и не прават длабока анализа на мрежните пакети. Таквите производи обично личат на прокси и се користат за заштита на одредени услуги: веб-сервер и веб-апликации (на пример, напишани во PHP), сервер за база на податоци итн. Типичен пример за оваа класа е mod_security за веб-серверот Apache.

Повеќе сме заинтересирани за универзални NIDS кои поддржуваат широк опсег на протоколи за комуникација и технологии DPI (Deep Packet Inspection). Тие го следат целиот сообраќај што поминува, почнувајќи од слојот за податочна врска и откриваат широк опсег на мрежни напади, како и обиди за неовластен пристап до информации. Често ваквите системи имаат дистрибуирана архитектура и можат да комуницираат со различна активна мрежна опрема. Забележете дека многу модерни NIDS се хибридни и комбинираат неколку пристапи. Во зависност од конфигурацијата и поставките, тие можат да решат различни проблеми - на пример, заштита на еден јазол или на целата мрежа. Дополнително, функциите на IDS за работни станици ги презедоа антивирусни пакети, кои поради ширењето на тројанци насочени кон кражба на информации, се претворија во мултифункционални firewalls кои ги решаваат и проблемите со препознавање и блокирање на сомнителниот сообраќај.

Првично, IDS можеше да открие само активност на малициозен софтвер, скенери за пристаништа или, да речеме, кориснички прекршувања на корпоративните безбедносни политики. Кога се случил одреден настан, тие го известиле администраторот, но брзо станало јасно дека едноставното препознавање на нападот не е доволно - треба да се блокира. Така IDS беа трансформирани во IPS (Intrusion Prevention Systems) - системи за спречување на упад способни за интеракција со заштитни ѕидови.

Методи за откривање

Современите решенија за откривање и спречување на упад користат различни методи за идентификување на малициозни активности, кои можат да се поделат во три категории. Ова ни дава друга опција за класификација на системите:

• IDS/IPS базиран на потпис открива шеми во сообраќајот или ги следи промените во состојбата на системите за да одреди мрежен напад или обид за инфекција. Тие практично не даваат грешки и лажни позитиви, но не се во можност да идентификуваат непознати закани;
• IDS за откривање аномалија не користат потписи за напад. Тие препознаваат ненормално однесување на информациските системи (вклучувајќи аномалии во мрежниот сообраќај) и дури можат да детектираат непознати напади. Ваквите системи даваат доста лажни позитиви и, доколку се користат неправилно, ја парализираат работата на локалната мрежа;
• IDS засновани на правила работат на принципот: ако ФАКТ тогаш АКЦИЈА. Во суштина, тоа се експертски системи со бази на знаење - збир на факти и правила на логичко заклучување. Ваквите решенија се трудоинтензивни за поставување и бараат од администраторот да има детално разбирање за мрежата. 

Историја на развој на IDS

Ерата на брзиот развој на Интернет и корпоративните мрежи започна во 90-тите години на минатиот век, но експертите беа збунети од напредните мрежни безбедносни технологии малку порано. Во 1986 година, Дороти Денинг и Питер Нојман го објавија моделот IDES (Експертски систем за детекција на упад), кој стана основа на повеќето модерни системи за откривање на упад. Користеше експертски систем за да ги идентификува познатите типови на напади, како и статистички методи и профили на корисник/систем. IDES работеше на работните станици на Sun, проверувајќи го мрежниот сообраќај и податоците од апликациите. Во 1993 година беше објавен NIDES (Следна генерација на експертски систем за откривање на упад) - нова генерација експертски систем за откривање на упад.

Врз основа на работата на Денинг и Нојман, експертскиот систем MIDAS (Multics Intrusion Detection and Alerting system) со помош на P-BEST и LISP се појави во 1988 година. Во исто време, беше создаден системот Haystack заснован на статистички методи. Друг детектор за статистичка аномалија, W&S (Wisdom & Sense), беше развиен една година подоцна во Националната лабораторија во Лос Аламос. Индустријата се развиваше со брзо темпо. На пример, во 1990 година, системот TIM (Time-based inductive machine) веќе имплементираше детекција на аномалии користејќи индуктивно учење на секвенцијални кориснички обрасци (Заеднички јазик LISP). NSM (Network Security Monitor) ги споредуваше матриците за пристап за откривање аномалии, а ISOA (Information Security Officer's Assistant) поддржуваше различни стратегии за откривање: статистички методи, проверка на профили и експертски систем. Системот ComputerWatch создаден во AT&T Bell Labs користеше статистички методи и правила за верификација, а програмерите на Универзитетот во Калифорнија го добија првиот прототип на дистрибуиран IDS уште во 1991 година - DIDS (Distributed Intrusion Detection System) исто така беше експертски систем.

Отпрвин, IDS беа сопственички, но веќе во 1998 година, Националната лабораторија. Лоренс Беркли го издаде Bro (преименуван во Zeek во 2018 година), систем со отворен код кој користи комерцијален јазик за правила за анализа на податоците од libpcap. Во ноември истата година се појави APE пакет трагач со помош на libpcap, кој еден месец подоцна беше преименуван во Snort, а подоцна стана полноправен IDS/IPS. Во исто време, почнаа да се појавуваат бројни сопственички решенија.

Снорт и Суриката

Многу компании претпочитаат бесплатен и отворен код IDS/IPS. Долго време веќе споменатиот Snort се сметаше за стандардно решение, но сега е заменет со системот Suricata. Ајде да ги разгледаме нивните предности и недостатоци малку подетално. Snort ги комбинира придобивките од методот заснован на потпис со способноста за откривање аномалии во реално време. Suricata исто така ви овозможува да користите други методи освен препознавање на напади со потписи. Системот е создаден од група програмери одделени од проектот Snort и поддржува IPS функции почнувајќи од верзијата 1.4, а Snort ја воведе можноста за спречување на упади подоцна.

Главната разлика помеѓу двата популарни производи е способноста на Suricata да користи графички процесорски компјутери во режим IDS, како и понапредниот IPS. Системот првично е дизајниран за мулти-нишки, додека Snort е производ со една нишка. Поради својата долга историја и наследниот код, тој оптимално не користи мултипроцесорски/повеќекорни хардверски платформи, додека Suricata може да управува со сообраќај до 10 Gbps на обични компјутери со општа намена. Можеме долго да зборуваме за сличностите и разликите помеѓу двата системи, но иако моторот Suricata работи побрзо, за не премногу широки канали тоа не е од фундаментално значење.

Опции за распоредување

IPS мора да биде поставен на таков начин што системот може да ги следи мрежните сегменти под негова контрола. Најчесто, ова е посветен компјутер, чиј еден интерфејс е поврзан по рабните уреди и „гледа“ низ нив во незаштитени јавни мрежи (Интернет). Друг IPS интерфејс е поврзан со влезот на заштитениот сегмент, така што целиот сообраќај поминува низ системот и се анализира. Во посложени случаи, може да има неколку заштитени сегменти: на пример, во корпоративните мрежи често се доделува демилитаризирана зона (DMZ) со услуги достапни од Интернет.

Таков IPS може да спречи скенирање на порти или напади со брутална сила со лозинка, експлоатација на пропусти во серверот за пошта, веб-серверот или скриптите, како и други видови надворешни напади. Ако компјутерите на локалната мрежа се заразени со малициозен софтвер, IDS нема да им дозволи да контактираат со ботнет-серверите лоцирани надвор. За посериозна заштита на внатрешната мрежа, најверојатно ќе биде потребна сложена конфигурација со дистрибуиран систем и скапи управувани прекинувачи способни за пресликување на сообраќајот за IDS интерфејсот поврзан на една од портите.

Корпоративните мрежи често се предмет на дистрибуирани напади на одбивање на услугата (DDoS). Иако модерниот IDS може да се справи со нив, горната опција за распоредување веројатно нема да помогне овде. Системот ќе препознае злонамерна активност и ќе го блокира лажниот сообраќај, но за да го направите ова, пакетите мора да поминат низ надворешна интернет конекција и да стигнат до неговиот мрежен интерфејс. Во зависност од интензитетот на нападот, каналот за пренос на податоци можеби нема да може да се справи со оптоварувањето и целта на напаѓачите ќе биде постигната. За такви случаи, препорачуваме распоредување IDS на виртуелен сервер со очигледно помоќна интернет конекција. Можете да го поврзете VPS на локалната мрежа преку VPN, а потоа ќе треба да конфигурирате рутирање на целиот надворешен сообраќај преку него. Потоа, во случај на DDoS напад, нема да морате да испраќате пакети преку конекцијата до провајдерот, тие ќе бидат блокирани на надворешниот јазол.

Проблем на избор

Многу е тешко да се идентификува лидер меѓу слободните системи. Изборот на IDS/IPS се одредува според мрежната топологија, потребните безбедносни функции, како и личните преференци на администраторот и неговата желба да се помеша со поставките. Snort има подолга историја и е подобро документиран, иако информациите за Suricata исто така лесно се наоѓаат на интернет. Во секој случај, за да го совладате системот ќе треба да вложите одредени напори, кои на крајот ќе се исплатат - комерцијалниот хардвер и хардверско-софтверот IDS/IPS се прилично скапи и не секогаш се вклопуваат во буџетот. Нема смисла да се каеме за потрошеното време, бидејќи добриот админ секогаш ги подобрува своите вештини на сметка на работодавецот. Во оваа ситуација, сите победуваат. Во следната статија ќе разгледаме некои опции за распоредување на Suricata и ќе споредиме помодерен систем со класичниот IDS/IPS Snort во пракса.

Извор: www.habr.com