കൂർക്കംവലി അല്ലെങ്കിൽ സുരികാറ്റ. ഭാഗം 1: നിങ്ങളുടെ കോർപ്പറേറ്റ് നെറ്റ്‌വർക്ക് പരിരക്ഷിക്കുന്നതിന് ഒരു സൗജന്യ ഐഡിഎസ്/ഐപിഎസ് തിരഞ്ഞെടുക്കൽ

ഒരു കാലത്ത്, പ്രാദേശിക നെറ്റ്‌വർക്കിനെ പരിരക്ഷിക്കാൻ ഒരു സാധാരണ ഫയർവാളും ആന്റി-വൈറസ് പ്രോഗ്രാമുകളും മതിയായിരുന്നു, എന്നാൽ അത്തരമൊരു സെറ്റ് ആധുനിക ഹാക്കർമാരുടെ ആക്രമണങ്ങൾക്കും അടുത്തിടെ വർദ്ധിച്ചുവരുന്ന ക്ഷുദ്രവെയറുകൾക്കും എതിരെ വേണ്ടത്ര ഫലപ്രദമല്ല. നല്ല പഴയ ഫയർവാൾ പാക്കറ്റ് ഹെഡറുകൾ മാത്രം വിശകലനം ചെയ്യുന്നു, ഒരു കൂട്ടം ഔപചാരിക നിയമങ്ങൾക്കനുസൃതമായി അവയെ കടന്നുപോകുകയോ തടയുകയോ ചെയ്യുന്നു. പാക്കേജുകളുടെ ഉള്ളടക്കത്തെക്കുറിച്ച് ഇതിന് ഒന്നും അറിയില്ല, അതിനാൽ നുഴഞ്ഞുകയറ്റക്കാരുടെ ബാഹ്യമായി നിയമാനുസൃതമായ പ്രവർത്തനങ്ങൾ തിരിച്ചറിയാൻ കഴിയില്ല. ആന്റി-വൈറസ് പ്രോഗ്രാമുകൾ എല്ലായ്‌പ്പോഴും ക്ഷുദ്രവെയറിനെ പിടികൂടുന്നില്ല, അതിനാൽ അപാകതയുള്ള പ്രവർത്തനം നിരീക്ഷിക്കുന്നതിനും രോഗബാധിതരായ ഹോസ്റ്റുകളെ സമയബന്ധിതമായി ഒറ്റപ്പെടുത്തുന്നതിനുമുള്ള ചുമതല അഡ്മിനിസ്ട്രേറ്റർ അഭിമുഖീകരിക്കുന്നു.

കമ്പനിയുടെ ഐടി ഇൻഫ്രാസ്ട്രക്ചർ പരിരക്ഷിക്കാൻ നിങ്ങളെ അനുവദിക്കുന്ന നിരവധി വിപുലമായ ടൂളുകൾ ഉണ്ട്. വിലകൂടിയ ഹാർഡ്‌വെയർ, സോഫ്റ്റ്‌വെയർ ലൈസൻസുകൾ വാങ്ങാതെ തന്നെ നടപ്പിലാക്കാൻ കഴിയുന്ന ഓപ്പൺ സോഴ്‌സ് നുഴഞ്ഞുകയറ്റം കണ്ടെത്തൽ, പ്രതിരോധ സംവിധാനങ്ങൾ എന്നിവയെക്കുറിച്ച് ഇന്ന് നമ്മൾ സംസാരിക്കും.

IDS/IPS വർഗ്ഗീകരണം

IDS (ഇൻട്രൂഷൻ ഡിറ്റക്ഷൻ സിസ്റ്റം) എന്നത് ഒരു നെറ്റ്‌വർക്കിലോ പ്രത്യേക കമ്പ്യൂട്ടറിലോ സംശയാസ്പദമായ പ്രവർത്തനങ്ങൾ രജിസ്റ്റർ ചെയ്യാൻ രൂപകൽപ്പന ചെയ്തിട്ടുള്ള ഒരു സംവിധാനമാണ്. ഇത് ഇവന്റ് ലോഗുകൾ പരിപാലിക്കുകയും അവയെക്കുറിച്ചുള്ള വിവര സുരക്ഷയുടെ ഉത്തരവാദിത്തമുള്ള വ്യക്തിയെ അറിയിക്കുകയും ചെയ്യുന്നു. IDS-ൽ ഇനിപ്പറയുന്ന ഘടകങ്ങൾ ഉൾപ്പെടുന്നു:

• നെറ്റ്‌വർക്ക് ട്രാഫിക്, വിവിധ ലോഗുകൾ മുതലായവ കാണുന്നതിനുള്ള സെൻസറുകൾ. 
• ലഭിച്ച ഡാറ്റയിൽ ദോഷകരമായ ഫലങ്ങളുടെ അടയാളങ്ങൾ കണ്ടെത്തുന്ന ഒരു വിശകലന ഉപസിസ്റ്റം;
• പ്രാഥമിക സംഭവങ്ങളും വിശകലന ഫലങ്ങളും ശേഖരിക്കുന്നതിനുള്ള സംഭരണം;
• മാനേജ്മെന്റ് കൺസോൾ.

തുടക്കത്തിൽ, IDS എന്നത് ലൊക്കേഷൻ അനുസരിച്ച് തരംതിരിച്ചിട്ടുണ്ട്: അവ വ്യക്തിഗത നോഡുകൾ (ഹോസ്റ്റ്-അധിഷ്ഠിത അല്ലെങ്കിൽ ഹോസ്റ്റ് ഇൻട്രൂഷൻ ഡിറ്റക്ഷൻ സിസ്റ്റം - HIDS) പരിരക്ഷിക്കുന്നതിനോ മുഴുവൻ കോർപ്പറേറ്റ് നെറ്റ്‌വർക്കിനെയും (നെറ്റ്‌വർക്ക് അധിഷ്ഠിതമോ നെറ്റ്‌വർക്ക് ഇൻട്രൂഷൻ ഡിറ്റക്ഷൻ സിസ്റ്റം - NIDS) പരിരക്ഷിക്കുന്നതിനോ ശ്രദ്ധ കേന്ദ്രീകരിക്കാം. വിളിക്കപ്പെടുന്നവ പരാമർശിക്കേണ്ടതാണ്. APIDS (ആപ്ലിക്കേഷൻ പ്രോട്ടോക്കോൾ അടിസ്ഥാനമാക്കിയുള്ള IDS): അവർ നിർദ്ദിഷ്ട ആക്രമണങ്ങൾ കണ്ടെത്തുന്നതിന് പരിമിതമായ ഒരു കൂട്ടം ആപ്ലിക്കേഷൻ ലെയർ പ്രോട്ടോക്കോളുകൾ നിരീക്ഷിക്കുന്നു, മാത്രമല്ല നെറ്റ്‌വർക്ക് പാക്കറ്റുകൾ ആഴത്തിൽ വിശകലനം ചെയ്യുന്നില്ല. അത്തരം ഉൽപ്പന്നങ്ങൾ സാധാരണയായി പ്രോക്സികളോട് സാമ്യമുള്ളതും നിർദ്ദിഷ്ട സേവനങ്ങൾ പരിരക്ഷിക്കുന്നതിന് ഉപയോഗിക്കുന്നു: വെബ് സെർവറും വെബ് ആപ്ലിക്കേഷനുകളും (ഉദാഹരണത്തിന്, PHP ൽ എഴുതിയത്), ഡാറ്റാബേസ് സെർവറുകൾ മുതലായവ. അപ്പാച്ചെ വെബ് സെർവറിനുള്ള mod_security ആണ് ഈ ക്ലാസിന്റെ ഒരു സാധാരണ പ്രതിനിധി.

വൈവിധ്യമാർന്ന ആശയവിനിമയ പ്രോട്ടോക്കോളുകളും DPI (ഡീപ് പാക്കറ്റ് ഇൻസ്പെക്ഷൻ) പാക്കറ്റ് വിശകലന സാങ്കേതികവിദ്യകളും പിന്തുണയ്ക്കുന്ന സാർവത്രിക NIDS-ൽ ഞങ്ങൾക്ക് കൂടുതൽ താൽപ്പര്യമുണ്ട്. ഡാറ്റ ലിങ്ക് ലെയറിൽ നിന്ന് തുടങ്ങി കടന്നുപോകുന്ന എല്ലാ ട്രാഫിക്കും അവർ നിരീക്ഷിക്കുന്നു, കൂടാതെ വിപുലമായ നെറ്റ്‌വർക്ക് ആക്രമണങ്ങളും അതുപോലെ തന്നെ വിവരങ്ങളിലേക്കുള്ള അനധികൃത ആക്‌സസ്സും കണ്ടെത്തുന്നു. പലപ്പോഴും ഇത്തരം സംവിധാനങ്ങൾക്ക് ഒരു ഡിസ്ട്രിബ്യൂട്ടഡ് ആർക്കിടെക്ചർ ഉണ്ട് കൂടാതെ വിവിധ സജീവ നെറ്റ്വർക്ക് ഉപകരണങ്ങളുമായി സംവദിക്കാൻ കഴിയും. പല ആധുനിക എൻഐഡികളും ഹൈബ്രിഡ് ആണെന്നും നിരവധി സമീപനങ്ങൾ സംയോജിപ്പിക്കുന്നുവെന്നും ശ്രദ്ധിക്കുക. കോൺഫിഗറേഷനും ക്രമീകരണങ്ങളും അനുസരിച്ച്, അവർക്ക് വിവിധ പ്രശ്നങ്ങൾ പരിഹരിക്കാൻ കഴിയും - ഉദാഹരണത്തിന്, ഒരു നോഡ് അല്ലെങ്കിൽ മുഴുവൻ നെറ്റ്‌വർക്കിനെയും സംരക്ഷിക്കുന്നു. കൂടാതെ, വർക്ക്‌സ്റ്റേഷനുകൾക്കായുള്ള ഐഡിഎസ് ഫംഗ്‌ഷനുകൾ ആന്റി-വൈറസ് പാക്കേജുകൾ ഏറ്റെടുത്തു, വിവരങ്ങൾ മോഷ്‌ടിക്കാൻ ലക്ഷ്യമിട്ടുള്ള ട്രോജനുകളുടെ വ്യാപനം കാരണം, സംശയാസ്പദമായ ട്രാഫിക് തിരിച്ചറിയുന്നതിനും തടയുന്നതിനുമുള്ള ജോലികൾ പരിഹരിക്കുന്ന മൾട്ടിഫങ്ഷണൽ ഫയർവാളുകളായി മാറി.

തുടക്കത്തിൽ, ക്ഷുദ്രവെയർ പ്രവർത്തനം, പോർട്ട് സ്കാനറുകൾ അല്ലെങ്കിൽ കോർപ്പറേറ്റ് സുരക്ഷാ നയങ്ങളുടെ ഉപയോക്തൃ ലംഘനങ്ങൾ എന്നിവ മാത്രമേ IDS-ന് കണ്ടെത്താനാകൂ. ഒരു പ്രത്യേക സംഭവം നടന്നപ്പോൾ, അവർ അഡ്മിനിസ്ട്രേറ്ററെ അറിയിച്ചു, പക്ഷേ ആക്രമണം തിരിച്ചറിഞ്ഞാൽ മാത്രം പോരാ - അത് തടയേണ്ടതുണ്ടെന്ന് പെട്ടെന്ന് വ്യക്തമായി. അതിനാൽ ഐഡിഎസ് ഐപിഎസായി രൂപാന്തരപ്പെട്ടു (ഇൻട്രൂഷൻ പ്രിവൻഷൻ സിസ്റ്റംസ്) - ഫയർവാളുകളുമായി സംവദിക്കാൻ കഴിയുന്ന നുഴഞ്ഞുകയറ്റ പ്രതിരോധ സംവിധാനങ്ങൾ.

കണ്ടെത്തൽ രീതികൾ

ആധുനിക നുഴഞ്ഞുകയറ്റം കണ്ടെത്തലും പ്രതിരോധ പരിഹാരങ്ങളും ക്ഷുദ്ര പ്രവർത്തനം കണ്ടെത്തുന്നതിന് വിവിധ രീതികൾ ഉപയോഗിക്കുന്നു, അവയെ മൂന്ന് വിഭാഗങ്ങളായി തിരിക്കാം. സിസ്റ്റങ്ങളെ വർഗ്ഗീകരിക്കുന്നതിനുള്ള മറ്റൊരു ഓപ്ഷൻ ഇത് നൽകുന്നു:

• സിഗ്‌നേച്ചർ അടിസ്ഥാനമാക്കിയുള്ള IDS/IPS ട്രാഫിക്കിലെ പാറ്റേണുകൾക്കായി തിരയുക അല്ലെങ്കിൽ ഒരു നെറ്റ്‌വർക്ക് ആക്രമണമോ അണുബാധ ശ്രമമോ കണ്ടെത്തുന്നതിന് സിസ്റ്റം അവസ്ഥയിലെ മാറ്റങ്ങൾ നിരീക്ഷിക്കുക. അവർ പ്രായോഗികമായി മിസ്‌ഫയറുകളും തെറ്റായ പോസിറ്റീവുകളും നൽകുന്നില്ല, പക്ഷേ അജ്ഞാതമായ ഭീഷണികൾ തിരിച്ചറിയാൻ അവർക്ക് കഴിയുന്നില്ല;
• അപാകത കണ്ടെത്തുന്ന ഐഡിഎസുകൾ ആക്രമണ ഒപ്പുകൾ ഉപയോഗിക്കുന്നില്ല. വിവരസംവിധാനങ്ങളുടെ അസാധാരണ സ്വഭാവം അവർ തിരിച്ചറിയുന്നു (നെറ്റ്‌വർക്ക് ട്രാഫിക്കിലെ അപാകതകൾ ഉൾപ്പെടെ) കൂടാതെ അജ്ഞാതമായ ആക്രമണങ്ങൾ പോലും കണ്ടെത്താനാകും. അത്തരം സംവിധാനങ്ങൾ ധാരാളം തെറ്റായ പോസിറ്റീവുകൾ നൽകുന്നു, തെറ്റായി ഉപയോഗിക്കുകയാണെങ്കിൽ, പ്രാദേശിക നെറ്റ്‌വർക്കിന്റെ പ്രവർത്തനത്തെ തളർത്തുന്നു;
• റൂൾ അധിഷ്‌ഠിത ഐഡിഎസുകൾ ഇതുപോലെ പ്രവർത്തിക്കുന്നു: FACT ആണെങ്കിൽ നടപടി. വാസ്തവത്തിൽ, ഇവ വിജ്ഞാന അടിത്തറയുള്ള വിദഗ്ദ്ധ സംവിധാനങ്ങളാണ് - ഒരു കൂട്ടം വസ്തുതകളുടെയും അനുമാന നിയമങ്ങളുടെയും. അത്തരം പരിഹാരങ്ങൾ സജ്ജീകരിക്കാൻ സമയമെടുക്കും കൂടാതെ നെറ്റ്‌വർക്കിനെക്കുറിച്ച് അഡ്മിനിസ്ട്രേറ്റർക്ക് വിശദമായ ധാരണ ആവശ്യമാണ്. 

ഐഡിഎസ് വികസനത്തിന്റെ ചരിത്രം

ഇൻറർനെറ്റിന്റെയും കോർപ്പറേറ്റ് നെറ്റ്‌വർക്കുകളുടെയും ദ്രുതഗതിയിലുള്ള വികസനത്തിന്റെ യുഗം കഴിഞ്ഞ നൂറ്റാണ്ടിന്റെ 90 കളിൽ ആരംഭിച്ചു, എന്നിരുന്നാലും, വിദഗ്ധർ അൽപ്പം മുമ്പ് വിപുലമായ നെറ്റ്‌വർക്ക് സുരക്ഷാ സാങ്കേതികവിദ്യകളാൽ അമ്പരന്നു. 1986-ൽ, ഡൊറോത്തി ഡെന്നിംഗും പീറ്റർ ന്യൂമാനും IDES മോഡൽ (ഇൻട്രൂഷൻ ഡിറ്റക്ഷൻ എക്‌സ്‌പെർട്ട് സിസ്റ്റം) പ്രസിദ്ധീകരിച്ചു, ഇത് മിക്ക ആധുനിക നുഴഞ്ഞുകയറ്റം കണ്ടെത്തൽ സംവിധാനങ്ങളുടെയും അടിസ്ഥാനമായി മാറി. അറിയപ്പെടുന്ന ആക്രമണങ്ങളും സ്റ്റാറ്റിസ്റ്റിക്കൽ രീതികളും ഉപയോക്തൃ/സിസ്റ്റം പ്രൊഫൈലുകളും തിരിച്ചറിയാൻ അവൾ ഒരു വിദഗ്ധ സംവിധാനം ഉപയോഗിച്ചു. നെറ്റ്‌വർക്ക് ട്രാഫിക്കും ആപ്ലിക്കേഷൻ ഡാറ്റയും പരിശോധിച്ചുകൊണ്ട് സൺ വർക്ക്സ്റ്റേഷനുകളിൽ IDES പ്രവർത്തിച്ചു. 1993-ൽ, NIDES (Next-generation Intrusion Detection Expert System) പുറത്തിറങ്ങി - ഒരു പുതിയ തലമുറയുടെ നുഴഞ്ഞുകയറ്റം കണ്ടെത്തൽ വിദഗ്ധ സംവിധാനം.

ഡെന്നിംഗ്, ന്യൂമാൻ എന്നിവരുടെ പ്രവർത്തനത്തെ അടിസ്ഥാനമാക്കി, P-BEST, LISP എന്നിവ ഉപയോഗിച്ച് MIDAS (മൾട്ടിക്സ് ഇൻട്രൂഷൻ ഡിറ്റക്ഷൻ ആൻഡ് അലേർട്ടിംഗ് സിസ്റ്റം) വിദഗ്ധ സംവിധാനം 1988-ൽ പ്രത്യക്ഷപ്പെട്ടു. അതേ സമയം, സ്റ്റാറ്റിസ്റ്റിക്കൽ രീതികളെ അടിസ്ഥാനമാക്കിയുള്ള ഹെയ്സ്റ്റാക്ക് സിസ്റ്റം സൃഷ്ടിക്കപ്പെട്ടു. മറ്റൊരു സ്റ്റാറ്റിസ്റ്റിക്കൽ അനോമലി ഡിറ്റക്ടർ, W&S (വിസ്ഡം & സെൻസ്) ഒരു വർഷത്തിനുശേഷം ലോസ് അലാമോസ് നാഷണൽ ലബോറട്ടറിയിൽ വികസിപ്പിച്ചെടുത്തു. വ്യവസായത്തിന്റെ വികസനം അതിവേഗം മുന്നേറി. ഉദാഹരണത്തിന്, 1990-ൽ, ക്രമാനുഗതമായ ഉപയോക്തൃ പാറ്റേണുകളിൽ (കോമൺ LISP ഭാഷ) ഇൻഡക്റ്റീവ് ലേണിംഗ് ഉപയോഗിച്ച് TIM (ടൈം അധിഷ്ഠിത ഇൻഡക്റ്റീവ് മെഷീൻ) സിസ്റ്റത്തിൽ അനോമലി ഡിറ്റക്ഷൻ ഇതിനകം തന്നെ നടപ്പിലാക്കിയിരുന്നു. NSM (നെറ്റ്‌വർക്ക് സെക്യൂരിറ്റി മോണിറ്റർ) അപാകത കണ്ടെത്തുന്നതിനുള്ള ആക്‌സസ് മെട്രിക്‌സുകളെ താരതമ്യം ചെയ്തു, കൂടാതെ ISOA (ഇൻഫർമേഷൻ സെക്യൂരിറ്റി ഓഫീസറുടെ അസിസ്റ്റന്റ്) വിവിധ കണ്ടെത്തൽ തന്ത്രങ്ങളെ പിന്തുണച്ചു: സ്റ്റാറ്റിസ്റ്റിക്കൽ രീതികൾ, പ്രൊഫൈൽ പരിശോധന, വിദഗ്ദ്ധ സംവിധാനം. AT & T Bell Labs-ൽ സൃഷ്ടിച്ച കമ്പ്യൂട്ടർ വാച്ച് സിസ്റ്റം സ്ഥിരീകരണത്തിനായി സ്റ്റാറ്റിസ്റ്റിക്കൽ രീതികളും നിയമങ്ങളും ഉപയോഗിച്ചു, കൂടാതെ കാലിഫോർണിയ സർവകലാശാലയുടെ ഡെവലപ്പർമാർക്ക് 1991-ൽ വിതരണം ചെയ്ത IDS- ന്റെ ആദ്യ പ്രോട്ടോടൈപ്പ് ലഭിച്ചു - DIDS (ഡിസ്‌ട്രിബ്യൂട്ടഡ് ഇൻട്രൂഷൻ ഡിറ്റക്ഷൻ സിസ്റ്റം) ഒരു വിദഗ്ദ്ധനായിരുന്നു. സിസ്റ്റം.

ആദ്യം, IDS ഉടമസ്ഥതയിലായിരുന്നു, എന്നാൽ ഇതിനകം 1998-ൽ ദേശീയ ലബോറട്ടറി. Libpcap ഡാറ്റ പാഴ്‌സ് ചെയ്യുന്നതിന് അതിന്റേതായ റൂൾസ് ഭാഷ ഉപയോഗിക്കുന്ന ഒരു ഓപ്പൺ സോഴ്‌സ് സിസ്റ്റമായ ബ്രോ (2018-ൽ Zeek എന്ന് പുനർനാമകരണം ചെയ്തു) ബെർക്ക്‌ലിയിലെ ലോറൻസ് പുറത്തിറക്കി. അതേ വർഷം നവംബറിൽ, libpcap ഉപയോഗിച്ചുള്ള APE പാക്കറ്റ് സ്നിഫർ പ്രത്യക്ഷപ്പെട്ടു, ഒരു മാസത്തിനുശേഷം അത് Snort എന്ന് പുനർനാമകരണം ചെയ്യപ്പെട്ടു, പിന്നീട് ഒരു പൂർണ്ണമായ IDS / IPS ആയി മാറി. അതേ സമയം, നിരവധി കുത്തക പരിഹാരങ്ങൾ പ്രത്യക്ഷപ്പെടാൻ തുടങ്ങി.

കൂർക്കംവലിയും സുരികാറ്റയും

പല കമ്പനികളും സ്വതന്ത്രവും ഓപ്പൺ സോഴ്‌സ് ഐഡിഎസ്/ഐപിഎസുമാണ് ഇഷ്ടപ്പെടുന്നത്. വളരെക്കാലമായി, ഇതിനകം സൂചിപ്പിച്ച സ്നോർട്ട് സ്റ്റാൻഡേർഡ് സൊല്യൂഷനായി കണക്കാക്കപ്പെട്ടിരുന്നു, എന്നാൽ ഇപ്പോൾ അത് സുരികാറ്റ സിസ്റ്റം ഉപയോഗിച്ച് മാറ്റിസ്ഥാപിച്ചു. അവരുടെ ഗുണങ്ങളും ദോഷങ്ങളും കുറച്ചുകൂടി വിശദമായി പരിഗണിക്കുക. Snort ഒരു സിഗ്നേച്ചർ രീതിയുടെ ഗുണങ്ങളും തത്സമയ അപാകത കണ്ടെത്തലും സംയോജിപ്പിക്കുന്നു. ആക്രമണ സിഗ്നേച്ചർ കണ്ടെത്തൽ കൂടാതെ മറ്റ് രീതികളും Suricata അനുവദിക്കുന്നു. സ്‌നോർട്ട് പ്രോജക്‌റ്റിൽ നിന്ന് വേർപിരിഞ്ഞ ഒരു കൂട്ടം ഡെവലപ്പർമാരാണ് ഈ സിസ്റ്റം സൃഷ്‌ടിച്ചത്, കൂടാതെ പതിപ്പ് 1.4 മുതൽ ഐപിഎസ് സവിശേഷതകളെ പിന്തുണയ്‌ക്കുന്നു, അതേസമയം നുഴഞ്ഞുകയറ്റ പ്രതിരോധം സ്‌നോർട്ടിൽ പ്രത്യക്ഷപ്പെട്ടു.

രണ്ട് ജനപ്രിയ ഉൽപ്പന്നങ്ങൾ തമ്മിലുള്ള പ്രധാന വ്യത്യാസം ഐഡിഎസ് കംപ്യൂട്ടിംഗിനായി ജിപിയു ഉപയോഗിക്കാനുള്ള സുരികാറ്റയുടെ കഴിവും കൂടുതൽ വിപുലമായ ഐപിഎസുമാണ്. സിസ്റ്റം യഥാർത്ഥത്തിൽ മൾട്ടി-ത്രെഡിംഗിനായി രൂപകൽപ്പന ചെയ്‌തതാണ്, അതേസമയം സ്‌നോർട്ട് ഒരു ഒറ്റ-ത്രെഡ് ഉൽപ്പന്നമാണ്. അതിന്റെ നീണ്ട ചരിത്രവും ലെഗസി കോഡും കാരണം, മൾട്ടി-പ്രോസസർ/മൾട്ടി-കോർ ഹാർഡ്‌വെയർ പ്ലാറ്റ്‌ഫോമുകൾ ഇത് മികച്ച രീതിയിൽ ഉപയോഗിക്കുന്നില്ല, അതേസമയം സാധാരണ പൊതു ആവശ്യ കമ്പ്യൂട്ടറുകളിൽ 10 Gbps വരെ ട്രാഫിക് കൈകാര്യം ചെയ്യാൻ Suricata-യ്ക്ക് കഴിയും. രണ്ട് സിസ്റ്റങ്ങളും തമ്മിലുള്ള സമാനതകളെയും വ്യത്യാസങ്ങളെയും കുറിച്ച് നിങ്ങൾക്ക് വളരെക്കാലം സംസാരിക്കാൻ കഴിയും, എന്നാൽ സുരികാറ്റ എഞ്ചിൻ വേഗത്തിൽ പ്രവർത്തിക്കുന്നുണ്ടെങ്കിലും, വളരെ വിശാലമല്ലാത്ത ചാനലുകൾക്ക് ഇത് പ്രശ്നമല്ല.

വിന്യാസ ഓപ്ഷനുകൾ

സിസ്റ്റത്തിന് അതിന്റെ നിയന്ത്രണത്തിലുള്ള നെറ്റ്‌വർക്ക് സെഗ്‌മെന്റുകൾ നിരീക്ഷിക്കാൻ കഴിയുന്ന തരത്തിൽ ഐപിഎസ് സ്ഥാപിക്കണം. മിക്കപ്പോഴും, ഇതൊരു സമർപ്പിത കമ്പ്യൂട്ടറാണ്, ഇതിന്റെ ഒരു ഇന്റർഫേസ് എഡ്ജ് ഉപകരണങ്ങൾക്ക് ശേഷം ബന്ധിപ്പിക്കുകയും അവയിലൂടെ സുരക്ഷിതമല്ലാത്ത പൊതു നെറ്റ്‌വർക്കുകളിലേക്ക് (ഇന്റർനെറ്റ്) “ലുക്ക്” ചെയ്യുകയും ചെയ്യുന്നു. മറ്റൊരു ഐപിഎസ് ഇന്റർഫേസ് സംരക്ഷിത വിഭാഗത്തിന്റെ ഇൻപുട്ടുമായി ബന്ധിപ്പിച്ചിരിക്കുന്നതിനാൽ എല്ലാ ട്രാഫിക്കും സിസ്റ്റത്തിലൂടെ കടന്നുപോകുകയും വിശകലനം ചെയ്യുകയും ചെയ്യുന്നു. കൂടുതൽ സങ്കീർണ്ണമായ കേസുകളിൽ, നിരവധി സംരക്ഷിത സെഗ്‌മെന്റുകൾ ഉണ്ടാകാം: ഉദാഹരണത്തിന്, കോർപ്പറേറ്റ് നെറ്റ്‌വർക്കുകളിൽ, ഇൻറർനെറ്റിൽ നിന്ന് ആക്‌സസ് ചെയ്യാവുന്ന സേവനങ്ങൾക്കൊപ്പം ഒരു സൈനികവൽക്കരിക്കപ്പെട്ട മേഖല (DMZ) പലപ്പോഴും അനുവദിച്ചിരിക്കുന്നു.

അത്തരം ഒരു IPS-ന് പോർട്ട് സ്കാനിംഗ് അല്ലെങ്കിൽ ബ്രൂട്ട്-ഫോഴ്സ് ആക്രമണങ്ങൾ, മെയിൽ സെർവർ, വെബ് സെർവർ അല്ലെങ്കിൽ സ്ക്രിപ്റ്റുകൾ എന്നിവയിലെ കേടുപാടുകൾ ചൂഷണം ചെയ്യൽ, മറ്റ് തരത്തിലുള്ള ബാഹ്യ ആക്രമണങ്ങൾ എന്നിവ തടയാൻ കഴിയും. ലോക്കൽ നെറ്റ്‌വർക്കിലെ കമ്പ്യൂട്ടറുകളിൽ ക്ഷുദ്രവെയർ ബാധിച്ചിട്ടുണ്ടെങ്കിൽ, പുറത്ത് സ്ഥിതിചെയ്യുന്ന ബോട്ട്നെറ്റ് സെർവറുകളുമായി ബന്ധപ്പെടാൻ IDS അവരെ അനുവദിക്കില്ല. ഇന്റേണൽ നെറ്റ്‌വർക്കിന്റെ കൂടുതൽ ഗുരുതരമായ സംരക്ഷണത്തിന് മിക്കവാറും ഒരു വിതരണ സംവിധാനത്തോടുകൂടിയ സങ്കീർണ്ണമായ കോൺഫിഗറേഷനും ഒരു പോർട്ടുമായി ബന്ധിപ്പിച്ചിട്ടുള്ള ഒരു IDS ഇന്റർഫേസിനായി ട്രാഫിക് മിറർ ചെയ്യാൻ കഴിവുള്ള വിലകൂടിയ നിയന്ത്രിത സ്വിച്ചുകളും ആവശ്യമായി വരും.

പലപ്പോഴും കോർപ്പറേറ്റ് നെറ്റ്‌വർക്കുകൾ ഡിസ്ട്രിബ്യൂഡ് ഡിനയൽ ഓഫ് സർവീസ് (DDoS) ആക്രമണങ്ങൾക്ക് വിധേയമാണ്. ആധുനിക ഐഡിഎസുകൾക്ക് അവ കൈകാര്യം ചെയ്യാൻ കഴിയുമെങ്കിലും, മുകളിലുള്ള വിന്യാസ ഓപ്ഷൻ ഇവിടെ കാര്യമായ സഹായകമല്ല. സിസ്റ്റം ക്ഷുദ്രകരമായ പ്രവർത്തനം തിരിച്ചറിയുകയും വ്യാജ ട്രാഫിക്കിനെ തടയുകയും ചെയ്യുന്നു, എന്നാൽ ഇതിനായി, പാക്കറ്റുകൾ ഒരു ബാഹ്യ ഇന്റർനെറ്റ് കണക്ഷനിലൂടെ കടന്നുപോകുകയും അതിന്റെ നെറ്റ്‌വർക്ക് ഇന്റർഫേസിൽ എത്തുകയും വേണം. ആക്രമണത്തിന്റെ തീവ്രതയെ ആശ്രയിച്ച്, ഡാറ്റാ ട്രാൻസ്മിഷൻ ചാനലിന് ലോഡ് നേരിടാൻ കഴിഞ്ഞേക്കില്ല, ആക്രമണകാരികളുടെ ലക്ഷ്യം കൈവരിക്കും. അത്തരം സന്ദർഭങ്ങളിൽ, അറിയപ്പെടുന്ന മെച്ചപ്പെട്ട ഇന്റർനെറ്റ് കണക്ഷനുള്ള ഒരു വെർച്വൽ സെർവറിൽ IDS വിന്യസിക്കാൻ ഞങ്ങൾ ശുപാർശ ചെയ്യുന്നു. നിങ്ങൾക്ക് ഒരു VPN വഴി പ്രാദേശിക നെറ്റ്‌വർക്കിലേക്ക് VPS കണക്റ്റുചെയ്യാനാകും, തുടർന്ന് അതിലൂടെയുള്ള എല്ലാ ബാഹ്യ ട്രാഫിക്കിന്റെയും റൂട്ടിംഗ് നിങ്ങൾ കോൺഫിഗർ ചെയ്യേണ്ടതുണ്ട്. തുടർന്ന്, ഒരു DDoS ആക്രമണമുണ്ടായാൽ, ദാതാവിലേക്കുള്ള കണക്ഷനിലൂടെ നിങ്ങൾക്ക് പാക്കറ്റുകൾ ഡ്രൈവ് ചെയ്യേണ്ടതില്ല, അവ ബാഹ്യ ഹോസ്റ്റിൽ തടയപ്പെടും.

തിരഞ്ഞെടുക്കുന്നതിനുള്ള പ്രശ്നം

സ്വതന്ത്ര സംവിധാനങ്ങൾക്കിടയിൽ ഒരു നേതാവിനെ തിരിച്ചറിയുന്നത് വളരെ ബുദ്ധിമുട്ടാണ്. നെറ്റ്‌വർക്ക് ടോപ്പോളജി, ആവശ്യമായ പരിരക്ഷണ പ്രവർത്തനങ്ങൾ, അഡ്മിനിസ്ട്രേറ്ററുടെ വ്യക്തിഗത മുൻഗണനകൾ, ക്രമീകരണങ്ങളിൽ ഫിഡിൽ ചെയ്യാനുള്ള അവന്റെ ആഗ്രഹം എന്നിവ അനുസരിച്ചാണ് IDS / IPS തിരഞ്ഞെടുക്കുന്നത്. Snort-ന് ദൈർഘ്യമേറിയ ചരിത്രമുണ്ട്, കൂടാതെ സൂറികാറ്റയെക്കുറിച്ചുള്ള വിവരങ്ങൾ ഓൺലൈനിൽ കണ്ടെത്താൻ എളുപ്പമാണ്. ഏത് സാഹചര്യത്തിലും, സിസ്റ്റം മാസ്റ്റർ ചെയ്യുന്നതിന്, നിങ്ങൾ ചില ശ്രമങ്ങൾ നടത്തേണ്ടതുണ്ട്, അത് ഒടുവിൽ ഫലം നൽകും - വാണിജ്യ ഹാർഡ്‌വെയറും ഹാർഡ്‌വെയർ-സോഫ്റ്റ്‌വെയർ ഐഡിഎസ് / ഐപിഎസും വളരെ ചെലവേറിയതും എല്ലായ്പ്പോഴും ബഡ്ജറ്റിന് അനുയോജ്യവുമല്ല. ചെലവഴിച്ച സമയത്തെക്കുറിച്ച് നിങ്ങൾ ഖേദിക്കേണ്ടതില്ല, കാരണം ഒരു നല്ല അഡ്മിനിസ്ട്രേറ്റർ എല്ലായ്പ്പോഴും തൊഴിലുടമയുടെ ചെലവിൽ തന്റെ യോഗ്യതകൾ മെച്ചപ്പെടുത്തുന്നു. ഈ സാഹചര്യത്തിൽ, എല്ലാവരും വിജയിക്കുന്നു. അടുത്ത ലേഖനത്തിൽ, ഞങ്ങൾ Suricata വിന്യസിക്കുന്നതിനുള്ള ചില ഓപ്ഷനുകൾ നോക്കുകയും പ്രായോഗികമായി ക്ലാസിക് IDS/IPS Snort-മായി കൂടുതൽ ആധുനിക സിസ്റ്റം താരതമ്യം ചെയ്യുകയും ചെയ്യും.

അവലംബം: www.habr.com