കൂർക്കംവലി അല്ലെങ്കിൽ സുരികാറ്റ. ഭാഗം 2: Suricata യുടെ ഇൻസ്റ്റാളേഷനും പ്രാരംഭ സജ്ജീകരണവും

സ്ഥിതിവിവരക്കണക്കുകൾ പ്രകാരം, നെറ്റ്‌വർക്ക് ട്രാഫിക്കിന്റെ അളവ് ഓരോ വർഷവും ഏകദേശം 50% വർദ്ധിക്കുന്നു. ഇത് ഉപകരണങ്ങളുടെ ലോഡ് വർദ്ധിക്കുന്നതിലേക്ക് നയിക്കുന്നു, പ്രത്യേകിച്ചും, IDS/IPS ന്റെ പ്രകടന ആവശ്യകതകൾ വർദ്ധിപ്പിക്കുന്നു. നിങ്ങൾക്ക് വിലയേറിയ പ്രത്യേക ഹാർഡ്വെയർ വാങ്ങാം, എന്നാൽ വിലകുറഞ്ഞ ഒരു ഓപ്ഷൻ ഉണ്ട് - ഓപ്പൺ സോഴ്സ് സിസ്റ്റങ്ങളിൽ ഒന്ന് നടപ്പിലാക്കുന്നു. ഒരു സൗജന്യ ഐപിഎസ് ഇൻസ്റ്റാൾ ചെയ്യുന്നതും കോൺഫിഗർ ചെയ്യുന്നതും വളരെ ബുദ്ധിമുട്ടുള്ള കാര്യമാണെന്ന് പല പുതിയ അഡ്മിനിസ്ട്രേറ്റർമാരും കരുതുന്നു. Suricata-യുടെ കാര്യത്തിൽ, ഇത് പൂർണ്ണമായും ശരിയല്ല - നിങ്ങൾക്ക് ഇത് ഇൻസ്റ്റാൾ ചെയ്യാനും കുറച്ച് മിനിറ്റുകൾക്കുള്ളിൽ ഒരു കൂട്ടം സ്വതന്ത്ര നിയമങ്ങൾ ഉപയോഗിച്ച് സ്റ്റാൻഡേർഡ് ആക്രമണങ്ങൾ തടയാനും കഴിയും.

കൂർക്കംവലി അല്ലെങ്കിൽ സുരികാറ്റ. ഭാഗം 1: നിങ്ങളുടെ കോർപ്പറേറ്റ് നെറ്റ്‌വർക്ക് പരിരക്ഷിക്കുന്നതിന് ഒരു സൗജന്യ ഐഡിഎസ്/ഐപിഎസ് തിരഞ്ഞെടുക്കൽ

എന്തുകൊണ്ടാണ് ഞങ്ങൾക്ക് മറ്റൊരു ഓപ്പൺ ഐപിഎസ് വേണ്ടത്?

വളരെക്കാലമായി സ്റ്റാൻഡേർഡായി കണക്കാക്കപ്പെട്ടിരുന്നു, തൊണ്ണൂറുകളുടെ അവസാനം മുതൽ സ്നോർട്ട് വികസിപ്പിച്ചുകൊണ്ടിരിക്കുന്നു, അതിനാൽ ഇത് യഥാർത്ഥത്തിൽ ഒറ്റ-ത്രെഡായിരുന്നു. കാലക്രമേണ, IPv6 പിന്തുണ, ആപ്ലിക്കേഷൻ-ലെവൽ പ്രോട്ടോക്കോളുകൾ വിശകലനം ചെയ്യാനുള്ള കഴിവ് അല്ലെങ്കിൽ ഒരു സാർവത്രിക ഡാറ്റ ആക്സസ് മൊഡ്യൂൾ പോലുള്ള എല്ലാ ആധുനിക സവിശേഷതകളും ഇത് നേടിയിട്ടുണ്ട്.

അടിസ്ഥാന Snort 2.X എഞ്ചിൻ ഒന്നിലധികം കോറുകൾ ഉപയോഗിച്ച് പ്രവർത്തിക്കാൻ പഠിച്ചു, പക്ഷേ സിംഗിൾ-ത്രെഡായി തുടർന്നു, അതിനാൽ ആധുനിക ഹാർഡ്‌വെയർ പ്ലാറ്റ്‌ഫോമുകൾ പരമാവധി പ്രയോജനപ്പെടുത്താൻ കഴിയില്ല.

സിസ്റ്റത്തിന്റെ മൂന്നാം പതിപ്പിൽ പ്രശ്നം പരിഹരിച്ചു, പക്ഷേ ആദ്യം മുതൽ എഴുതിയ സുരികാറ്റ വിപണിയിൽ പ്രത്യക്ഷപ്പെടാൻ വളരെ സമയമെടുത്തു. 2009-ൽ, സ്നോർട്ടിന് ഒരു മൾട്ടി-ത്രെഡഡ് ബദലായി ഇത് കൃത്യമായി വികസിപ്പിക്കാൻ തുടങ്ങി, അതിൽ ഐപിഎസ് ഫംഗ്ഷനുകൾ ബോക്സിന് പുറത്ത് ഉണ്ടായിരുന്നു. GPLv2 ലൈസൻസിന് കീഴിലാണ് കോഡ് വിതരണം ചെയ്തിരിക്കുന്നത്, എന്നാൽ പദ്ധതിയുടെ സാമ്പത്തിക പങ്കാളികൾക്ക് എഞ്ചിന്റെ അടച്ച പതിപ്പിലേക്ക് ആക്‌സസ് ഉണ്ട്. സിസ്റ്റത്തിന്റെ ആദ്യ പതിപ്പുകളിൽ സ്കേലബിളിറ്റിയുമായി ബന്ധപ്പെട്ട ചില പ്രശ്നങ്ങൾ ഉയർന്നുവെങ്കിലും അവ വളരെ വേഗത്തിൽ പരിഹരിച്ചു.

എന്തുകൊണ്ട് സുരികാറ്റ?

സൂറികാറ്റയ്ക്ക് നിരവധി മൊഡ്യൂളുകൾ ഉണ്ട് (സ്നോർട്ട് പോലെ): പിടിച്ചെടുക്കൽ, ഏറ്റെടുക്കൽ, ഡീകോഡിംഗ്, കണ്ടെത്തൽ, ഔട്ട്പുട്ട്. സ്ഥിരസ്ഥിതിയായി, ക്യാപ്‌ചർ ചെയ്‌ത ട്രാഫിക് ഒരു ത്രെഡിൽ ഡീകോഡ് ചെയ്യുന്നതിന് മുമ്പായി പോകുന്നു, എന്നിരുന്നാലും ഇത് സിസ്റ്റത്തെ കൂടുതൽ ലോഡുചെയ്യുന്നു. ആവശ്യമെങ്കിൽ, ത്രെഡുകൾ ക്രമീകരണങ്ങളിൽ വിഭജിക്കുകയും പ്രോസസ്സറുകൾക്കിടയിൽ വിതരണം ചെയ്യുകയും ചെയ്യാം - നിർദ്ദിഷ്ട ഹാർഡ്‌വെയറിനായി Suricata നന്നായി ഒപ്റ്റിമൈസ് ചെയ്‌തിരിക്കുന്നു, എന്നിരുന്നാലും ഇത് തുടക്കക്കാർക്ക് ഒരു HOWTO ലെവലല്ല. HTP ലൈബ്രറിയെ അടിസ്ഥാനമാക്കിയുള്ള വിപുലമായ HTTP ഇൻസ്പെക്ഷൻ ടൂളുകൾ Suricata-യിലുണ്ടെന്നതും ശ്രദ്ധിക്കേണ്ടതാണ്. കണ്ടെത്താതെ ട്രാഫിക് ലോഗ് ചെയ്യാനും അവ ഉപയോഗിക്കാം. IPv6-in-IPv4, IPv6-in-IPv6 ടണലുകളും മറ്റുള്ളവയും ഉൾപ്പെടെ IPv6 ഡീകോഡിംഗും സിസ്റ്റം പിന്തുണയ്ക്കുന്നു.

ട്രാഫിക് തടസ്സപ്പെടുത്തുന്നതിന് വ്യത്യസ്ത ഇന്റർഫേസുകൾ ഉപയോഗിക്കാം (NFQueue, IPFRing, LibPcap, IPFW, AF_PACKET, PF_RING), കൂടാതെ Unix സോക്കറ്റ് മോഡിൽ നിങ്ങൾക്ക് മറ്റൊരു സ്‌നിഫർ ക്യാപ്‌ചർ ചെയ്‌ത PCAP ഫയലുകൾ സ്വയമേവ വിശകലനം ചെയ്യാൻ കഴിയും. കൂടാതെ, നെറ്റ്‌വർക്ക് പാക്കറ്റുകൾ ക്യാപ്‌ചർ ചെയ്യുന്നതിനും ഡീകോഡ് ചെയ്യുന്നതിനും വിശകലനം ചെയ്യുന്നതിനും പ്രോസസ്സ് ചെയ്യുന്നതിനും പുതിയ ഘടകങ്ങളെ ബന്ധിപ്പിക്കുന്നത് സുരികാറ്റയുടെ മോഡുലാർ ആർക്കിടെക്ചർ എളുപ്പമാക്കുന്നു. സുരികാറ്റയിൽ, സ്റ്റാൻഡേർഡ് ഓപ്പറേറ്റിംഗ് സിസ്റ്റം ഫിൽട്ടർ ഉപയോഗിച്ച് ട്രാഫിക് ബ്ലോക്ക് ചെയ്യപ്പെടുന്നു എന്നതും ശ്രദ്ധിക്കേണ്ടതാണ്. GNU/Linux-ൽ, IPS പ്രവർത്തനത്തിന് രണ്ട് ഓപ്ഷനുകൾ ലഭ്യമാണ്: NFQUEUE ക്യൂ (NFQ മോഡ്) വഴിയും സീറോ കോപ്പി വഴിയും (AF_PACKET മോഡ്). ആദ്യ സന്ദർഭത്തിൽ, iptables-ലേക്ക് പ്രവേശിക്കുന്ന ഒരു പാക്കറ്റ് NFQUEUE ക്യൂവിലേക്ക് അയയ്ക്കുന്നു, അവിടെ അത് ഉപയോക്തൃ തലത്തിൽ പ്രോസസ്സ് ചെയ്യാൻ കഴിയും. Suricata അതിന്റെ സ്വന്തം നിയമങ്ങൾക്കനുസൃതമായി ഇത് പ്രവർത്തിപ്പിക്കുകയും മൂന്ന് വിധിന്യായങ്ങളിൽ ഒന്ന് പുറപ്പെടുവിക്കുകയും ചെയ്യുന്നു: NF_ACCEPT, NF_DROP, NF_REPEAT. ആദ്യ രണ്ടെണ്ണം സ്വയം വിശദീകരിക്കുന്നതാണ്, എന്നാൽ അവസാനത്തേത് പാക്കറ്റുകൾ അടയാളപ്പെടുത്താനും നിലവിലെ iptables പട്ടികയുടെ തുടക്കത്തിലേക്ക് അയയ്ക്കാനും നിങ്ങളെ അനുവദിക്കുന്നു. AF_PACKET മോഡ് വേഗതയേറിയതാണ്, പക്ഷേ സിസ്റ്റത്തിൽ നിരവധി നിയന്ത്രണങ്ങൾ ഏർപ്പെടുത്തുന്നു: ഇതിന് രണ്ട് നെറ്റ്‌വർക്ക് ഇന്റർഫേസുകൾ ഉണ്ടായിരിക്കുകയും ഒരു ഗേറ്റ്‌വേ ആയി പ്രവർത്തിക്കുകയും വേണം. തടഞ്ഞ പാക്കറ്റ് രണ്ടാമത്തെ ഇന്റർഫേസിലേക്ക് ഫോർവേഡ് ചെയ്യപ്പെടുന്നില്ല.

സുരികാറ്റയുടെ ഒരു പ്രധാന സവിശേഷത സ്നോർട്ടിനായി വികസനങ്ങൾ ഉപയോഗിക്കാനുള്ള കഴിവാണ്. അഡ്‌മിനിസ്‌ട്രേറ്റർക്ക്, പ്രത്യേകിച്ച്, Sourcefire VRT, ഓപ്പൺസോഴ്‌സ് എമർജിംഗ് ത്രെറ്റ്‌സ് റൂൾ സെറ്റുകളിലേക്കും വാണിജ്യ എമർജിംഗ് ത്രെറ്റ്‌സ് പ്രോയിലേക്കും ആക്‌സസ് ഉണ്ട്. ജനപ്രിയ ബാക്കെൻഡുകൾ ഉപയോഗിച്ച് ഏകീകൃത ഔട്ട്പുട്ട് വിശകലനം ചെയ്യാൻ കഴിയും, കൂടാതെ PCAP, Syslog എന്നിവയിലേക്കുള്ള ഔട്ട്പുട്ടും പിന്തുണയ്ക്കുന്നു. സിസ്റ്റം ക്രമീകരണങ്ങളും നിയമങ്ങളും YAML ഫയലുകളിൽ സംഭരിച്ചിരിക്കുന്നു, അവ വായിക്കാൻ എളുപ്പമുള്ളതും സ്വയമേവ പ്രോസസ്സ് ചെയ്യാവുന്നതുമാണ്. Suricata എഞ്ചിൻ നിരവധി പ്രോട്ടോക്കോളുകൾ തിരിച്ചറിയുന്നു, അതിനാൽ നിയമങ്ങൾ ഒരു പോർട്ട് നമ്പറുമായി ബന്ധിപ്പിക്കേണ്ടതില്ല. കൂടാതെ, ഫ്ലോബിറ്റുകൾ എന്ന ആശയം സുരികാറ്റ നിയമങ്ങളിൽ സജീവമായി പ്രയോഗിക്കുന്നു. ട്രിഗറിംഗ് ട്രാക്ക് ചെയ്യുന്നതിന്, സെഷൻ വേരിയബിളുകൾ ഉപയോഗിക്കുന്നു, ഇത് വിവിധ കൗണ്ടറുകളും ഫ്ലാഗുകളും സൃഷ്ടിക്കാനും പ്രയോഗിക്കാനും നിങ്ങളെ അനുവദിക്കുന്നു. പല ഐഡിഎസുകളും വ്യത്യസ്‌ത ടിസിപി കണക്ഷനുകളെ വെവ്വേറെ എന്റിറ്റികളായി കണക്കാക്കുന്നു, ആക്രമണത്തിന്റെ ആരംഭം സൂചിപ്പിക്കാൻ അവ തമ്മിലുള്ള ബന്ധം കാണാനിടയില്ല. Suricata മുഴുവൻ ചിത്രവും കാണാൻ ശ്രമിക്കുന്നു, പല സന്ദർഭങ്ങളിലും വ്യത്യസ്‌ത കണക്ഷനുകളിലുടനീളം വിതരണം ചെയ്‌തിരിക്കുന്ന ക്ഷുദ്ര ട്രാഫിക് തിരിച്ചറിയുന്നു. നമുക്ക് അതിന്റെ ഗുണങ്ങളെക്കുറിച്ച് വളരെക്കാലം സംസാരിക്കാം; ഞങ്ങൾ ഇൻസ്റ്റാളേഷനിലേക്കും കോൺഫിഗറേഷനിലേക്കും പോകുന്നതാണ് നല്ലത്.

എങ്ങനെ ഇൻസ്റ്റാൾ ചെയ്യാം?

Ubuntu 18.04 LTS പ്രവർത്തിക്കുന്ന ഒരു വെർച്വൽ സെർവറിൽ ഞങ്ങൾ Suricata ഇൻസ്റ്റാൾ ചെയ്യും. എല്ലാ കമാൻഡുകളും സൂപ്പർ യൂസർ (റൂട്ട്) ആയി എക്സിക്യൂട്ട് ചെയ്യണം. ഒരു സാധാരണ ഉപയോക്താവായി SSH വഴി സെർവറിലേക്ക് കണക്റ്റുചെയ്യുക, തുടർന്ന് പ്രത്യേകാവകാശങ്ങൾ വർദ്ധിപ്പിക്കുന്നതിന് സുഡോ യൂട്ടിലിറ്റി ഉപയോഗിക്കുക എന്നതാണ് ഏറ്റവും സുരക്ഷിതമായ ഓപ്ഷൻ. ആദ്യം നമുക്ക് ആവശ്യമുള്ള പാക്കേജുകൾ ഇൻസ്റ്റാൾ ചെയ്യണം:

sudo apt -y install libpcre3 libpcre3-dev build-essential autoconf automake libtool libpcap-dev libnet1-dev libyaml-0-2 libyaml-dev zlib1g zlib1g-dev libmagic-dev libcap-ng-dev libjansson-dev pkg-config libnetfilter-queue-dev geoip-bin geoip-database geoipupdate apt-transport-https

ഒരു ബാഹ്യ ശേഖരം ബന്ധിപ്പിക്കുന്നു:

sudo add-apt-repository ppa:oisf/suricata-stable
sudo apt-get update

Suricata-യുടെ ഏറ്റവും പുതിയ സ്ഥിരതയുള്ള പതിപ്പ് ഇൻസ്റ്റാൾ ചെയ്യുക:

sudo apt-get install suricata

ആവശ്യമെങ്കിൽ, കോൺഫിഗറേഷൻ ഫയലുകളുടെ പേര് എഡിറ്റുചെയ്യുക, സെർവറിന്റെ ബാഹ്യ ഇന്റർഫേസിന്റെ യഥാർത്ഥ നാമം ഉപയോഗിച്ച് സ്ഥിരസ്ഥിതി eth0 മാറ്റിസ്ഥാപിക്കുക. സ്ഥിരസ്ഥിതി ക്രമീകരണങ്ങൾ /etc/default/suricata ഫയലിൽ സംഭരിക്കുന്നു, കൂടാതെ ഇഷ്‌ടാനുസൃത ക്രമീകരണങ്ങൾ /etc/suricata/suricata.yaml-ലും സംഭരിക്കുന്നു. IDS കോൺഫിഗറേഷൻ ഈ കോൺഫിഗറേഷൻ ഫയൽ എഡിറ്റ് ചെയ്യുന്നതിനായി പരിമിതപ്പെടുത്തിയിരിക്കുന്നു. ഇതിന് നിരവധി പാരാമീറ്ററുകൾ ഉണ്ട്, അത് പേരിലും ഉദ്ദേശ്യത്തിലും, സ്നോർട്ടിൽ നിന്നുള്ള അവയുടെ അനലോഗുകളുമായി പൊരുത്തപ്പെടുന്നു. എന്നിരുന്നാലും വാക്യഘടന തികച്ചും വ്യത്യസ്തമാണ്, എന്നാൽ സ്നോർട്ട് കോൺഫിഗറുകളേക്കാൾ ഫയൽ വായിക്കാൻ വളരെ എളുപ്പമാണ്, മാത്രമല്ല ഇത് നന്നായി അഭിപ്രായപ്പെടുകയും ചെയ്യുന്നു.

sudo nano /etc/default/suricata

и

sudo nano /etc/suricata/suricata.yaml

ശ്രദ്ധ! ആരംഭിക്കുന്നതിന് മുമ്പ്, നിങ്ങൾ vars വിഭാഗത്തിൽ നിന്നുള്ള വേരിയബിളുകളുടെ മൂല്യങ്ങൾ പരിശോധിക്കണം.

സജ്ജീകരണം പൂർത്തിയാക്കാൻ, നിയമങ്ങൾ അപ്ഡേറ്റ് ചെയ്യുന്നതിനും ഡൗൺലോഡ് ചെയ്യുന്നതിനും നിങ്ങൾ suricata-update ഇൻസ്റ്റാൾ ചെയ്യേണ്ടതുണ്ട്. ഇത് ചെയ്യാൻ വളരെ എളുപ്പമാണ്:

sudo apt install python-pip
sudo pip install pyyaml
sudo pip install <a href="https://github.com/OISF/suricata-update/archive/master.zip">https://github.com/OISF/suricata-update/archive/master.zip</a>
sudo pip install --pre --upgrade suricata-update

അടുത്തതായി എമർജിംഗ് ത്രെറ്റ്‌സ് ഓപ്പൺ റൂൾസെറ്റ് ഇൻസ്റ്റാൾ ചെയ്യുന്നതിന് നമ്മൾ suricata-update കമാൻഡ് പ്രവർത്തിപ്പിക്കേണ്ടതുണ്ട്:

sudo suricata-update

റൂൾ ഉറവിടങ്ങളുടെ ലിസ്റ്റ് കാണുന്നതിന്, ഇനിപ്പറയുന്ന കമാൻഡ് പ്രവർത്തിപ്പിക്കുക:

sudo suricata-update list-sources

റൂൾ ഉറവിടങ്ങൾ അപ്ഡേറ്റ് ചെയ്യുക:

sudo suricata-update update-sources

പുതുക്കിയ ഉറവിടങ്ങളിലേക്ക് ഞങ്ങൾ വീണ്ടും നോക്കുന്നു:

sudo suricata-update list-sources

ആവശ്യമെങ്കിൽ, നിങ്ങൾക്ക് ലഭ്യമായ സൗജന്യ ഉറവിടങ്ങൾ ഉൾപ്പെടുത്താം:

sudo suricata-update enable-source ptresearch/attackdetection
sudo suricata-update enable-source oisf/trafficid
sudo suricata-update enable-source sslbl/ssl-fp-blacklist

ഇതിനുശേഷം, നിങ്ങൾ നിയമങ്ങൾ വീണ്ടും അപ്ഡേറ്റ് ചെയ്യേണ്ടതുണ്ട്:

sudo suricata-update

ഈ ഘട്ടത്തിൽ, ഉബുണ്ടു 18.04 LTS-ലെ Suricata-യുടെ ഇൻസ്റ്റാളേഷനും പ്രാരംഭ കോൺഫിഗറേഷനും പൂർത്തിയായതായി കണക്കാക്കാം. തുടർന്ന് തമാശ ആരംഭിക്കുന്നു: അടുത്ത ലേഖനത്തിൽ ഞങ്ങൾ VPN വഴി ഓഫീസ് നെറ്റ്‌വർക്കിലേക്ക് ഒരു വെർച്വൽ സെർവറിനെ ബന്ധിപ്പിക്കുകയും എല്ലാ ഇൻകമിംഗ്, ഔട്ട്‌ഗോയിംഗ് ട്രാഫിക്കും വിശകലനം ചെയ്യാൻ തുടങ്ങുകയും ചെയ്യും. DDoS ആക്രമണങ്ങൾ, ക്ഷുദ്രവെയർ പ്രവർത്തനം, പൊതു നെറ്റ്‌വർക്കുകളിൽ നിന്ന് ആക്‌സസ് ചെയ്യാവുന്ന സേവനങ്ങളിലെ കേടുപാടുകൾ മുതലെടുക്കാനുള്ള ശ്രമങ്ങൾ എന്നിവ തടയുന്നതിൽ ഞങ്ങൾ പ്രത്യേക ശ്രദ്ധ ചെലുത്തും. വ്യക്തതയ്ക്കായി, ഏറ്റവും സാധാരണമായ തരത്തിലുള്ള ആക്രമണങ്ങൾ അനുകരിക്കും.

അവലംബം: www.habr.com