Snort किंवा Suricata. भाग 1: तुमच्या कॉर्पोरेट नेटवर्कचे संरक्षण करण्यासाठी विनामूल्य IDS/IPS निवडणे

एकेकाळी, स्थानिक नेटवर्कचे संरक्षण करण्यासाठी एक सामान्य फायरवॉल आणि अँटी-व्हायरस प्रोग्राम्स पुरेसे होते, परंतु आधुनिक हॅकर्सच्या हल्ल्यांविरुद्ध आणि अलीकडेच पसरलेल्या मालवेअरच्या विरोधात असा संच पुरेसा प्रभावी नाही. चांगली जुनी फायरवॉल केवळ पॅकेट शीर्षलेखांचे विश्लेषण करते, औपचारिक नियमांच्या संचानुसार त्यांना पास करणे किंवा अवरोधित करणे. याला पॅकेजमधील सामग्रीबद्दल काहीही माहिती नाही आणि म्हणून घुसखोरांच्या बाह्यतः कायदेशीर कृती ओळखू शकत नाहीत. अँटी-व्हायरस प्रोग्राम नेहमी मालवेअर पकडत नाहीत, म्हणून प्रशासकाला विसंगत क्रियाकलापांवर लक्ष ठेवण्याचे आणि संक्रमित होस्टला वेळेवर वेगळे करण्याचे काम सामोरे जावे लागते.

अनेक प्रगत साधने आहेत जी तुम्हाला कंपनीच्या IT पायाभूत सुविधांचे संरक्षण करण्यास परवानगी देतात. आज आम्ही ओपन सोर्स घुसखोरी शोधणे आणि प्रतिबंधक प्रणालींबद्दल बोलू ज्या महाग हार्डवेअर आणि सॉफ्टवेअर परवाने खरेदी केल्याशिवाय लागू केल्या जाऊ शकतात.

आयडीएस/आयपीएस वर्गीकरण

IDS (Intrusion Detection System) ही नेटवर्क किंवा वेगळ्या संगणकावर संशयास्पद क्रियाकलापांची नोंदणी करण्यासाठी डिझाइन केलेली प्रणाली आहे. हे इव्हेंट लॉग राखते आणि त्यांच्याबद्दल माहिती सुरक्षिततेसाठी जबाबदार असलेल्या व्यक्तीस सूचित करते. IDS मध्ये खालील घटक समाविष्ट आहेत:

• नेटवर्क रहदारी, विविध लॉग इ. पाहण्यासाठी सेन्सर. 
• एक विश्लेषण उपप्रणाली जी प्राप्त डेटामध्ये हानिकारक प्रभावांची चिन्हे शोधते;
• प्राथमिक घटना आणि विश्लेषण परिणाम जमा करण्यासाठी स्टोरेज;
• व्यवस्थापन कन्सोल.

सुरुवातीला, आयडीएसचे स्थानानुसार वर्गीकरण केले गेले: ते वैयक्तिक नोड्स (होस्ट-आधारित किंवा होस्ट इंट्रूजन डिटेक्शन सिस्टम - HIDS) संरक्षित करण्यावर किंवा संपूर्ण कॉर्पोरेट नेटवर्कचे (नेटवर्क-आधारित किंवा नेटवर्क इंट्रुजन डिटेक्शन सिस्टम - NIDS) संरक्षण करण्यावर लक्ष केंद्रित केले जाऊ शकते. तथाकथित उल्लेख करणे योग्य आहे. एपीआयडीएस (अॅप्लिकेशन प्रोटोकॉल-आधारित आयडीएस): ते विशिष्ट हल्ले शोधण्यासाठी अॅप्लिकेशन लेयर प्रोटोकॉलच्या मर्यादित संचाचे निरीक्षण करतात आणि नेटवर्क पॅकेट्सचे सखोल विश्लेषण करत नाहीत. अशी उत्पादने सहसा प्रॉक्सीसारखी असतात आणि विशिष्ट सेवांचे संरक्षण करण्यासाठी वापरली जातात: वेब सर्व्हर आणि वेब अनुप्रयोग (उदाहरणार्थ, PHP मध्ये लिहिलेले), डेटाबेस सर्व्हर इ. Apache वेब सर्व्हरसाठी या वर्गाचा विशिष्ट प्रतिनिधी mod_security आहे.

आम्हाला सार्वत्रिक एनआयडीएसमध्ये अधिक रस आहे जे संप्रेषण प्रोटोकॉल आणि डीपीआय (डीप पॅकेट तपासणी) पॅकेट विश्लेषण तंत्रज्ञानाच्या विस्तृत श्रेणीचे समर्थन करतात. ते डेटा लिंक लेयरपासून सुरू होणार्‍या सर्व ट्रॅफिकचे निरीक्षण करतात आणि नेटवर्क हल्ल्यांची विस्तृत श्रेणी, तसेच माहितीवर अनधिकृत प्रवेश शोधतात. बर्याचदा अशा प्रणालींमध्ये वितरित आर्किटेक्चर असते आणि ते विविध सक्रिय नेटवर्क उपकरणांशी संवाद साधू शकतात. लक्षात घ्या की अनेक आधुनिक एनआयडीएस संकरित आहेत आणि अनेक दृष्टिकोन एकत्र करतात. कॉन्फिगरेशन आणि सेटिंग्जवर अवलंबून, ते विविध समस्या सोडवू शकतात - उदाहरणार्थ, एक नोड किंवा संपूर्ण नेटवर्क संरक्षित करणे. याव्यतिरिक्त, वर्कस्टेशन्ससाठी आयडीएसची कार्ये अँटी-व्हायरस पॅकेजेसद्वारे घेतली गेली, जी माहिती चोरण्याच्या उद्देशाने ट्रोजनच्या प्रसारामुळे, मल्टीफंक्शनल फायरवॉलमध्ये बदलली जी संशयास्पद रहदारी ओळखणे आणि अवरोधित करण्याचे कार्य देखील सोडवते.

सुरुवातीला, IDS केवळ मालवेअर क्रियाकलाप, पोर्ट स्कॅनर किंवा वापरकर्त्याने कॉर्पोरेट सुरक्षा धोरणांचे उल्लंघन शोधू शकते. जेव्हा एखादी विशिष्ट घटना घडली तेव्हा त्यांनी प्रशासकाला सूचित केले, परंतु हे पटकन स्पष्ट झाले की फक्त हल्ला ओळखणे पुरेसे नाही - ते अवरोधित करणे आवश्यक आहे. त्यामुळे आयडीएसचे आयपीएस (इंट्रुजन प्रिव्हेन्शन सिस्टीम्स) मध्ये रूपांतर झाले - घुसखोरी प्रतिबंधक प्रणाली ज्या फायरवॉलशी संवाद साधू शकतात.

शोधण्याच्या पद्धती

आधुनिक घुसखोरी शोधणे आणि प्रतिबंधक उपाय दुर्भावनायुक्त क्रियाकलाप शोधण्यासाठी विविध पद्धती वापरतात, ज्यांना तीन श्रेणींमध्ये विभागले जाऊ शकते. हे आम्हाला वर्गीकरण प्रणालीसाठी दुसरा पर्याय देते:

• स्वाक्षरी-आधारित IDS/IPS ट्रॅफिकमधील नमुने शोधतात किंवा नेटवर्क हल्ला किंवा संसर्गाचा प्रयत्न शोधण्यासाठी सिस्टम स्थितीतील बदलांचे निरीक्षण करतात. ते व्यावहारिकरित्या चुकीचे फायर आणि खोटे सकारात्मक देत नाहीत, परंतु अज्ञात धोके शोधण्यात सक्षम नाहीत;
• विसंगती शोधणारे IDS आक्रमण स्वाक्षरी वापरत नाहीत. ते माहिती प्रणालीचे असामान्य वर्तन ओळखतात (नेटवर्क रहदारीमधील विसंगतींसह) आणि अगदी अज्ञात हल्ले देखील ओळखू शकतात. अशा सिस्टीम बर्‍याच खोट्या सकारात्मक गोष्टी देतात आणि, चुकीच्या पद्धतीने वापरल्यास, स्थानिक नेटवर्कचे कार्य अर्धांगवायू करतात;
• नियम-आधारित IDS असे कार्य करतात: FACT असल्यास ACTION. खरं तर, या ज्ञानाच्या आधारांसह तज्ञ प्रणाली आहेत - तथ्ये आणि अनुमानांचे नियम. असे उपाय सेट करण्यासाठी वेळखाऊ असतात आणि प्रशासकाला नेटवर्कची तपशीलवार माहिती असणे आवश्यक असते. 

आयडीएस विकासाचा इतिहास

गेल्या शतकाच्या 90 च्या दशकात इंटरनेट आणि कॉर्पोरेट नेटवर्क्सच्या जलद विकासाचे युग सुरू झाले, तथापि, तज्ञ थोडे पूर्वी प्रगत नेटवर्क सुरक्षा तंत्रज्ञानामुळे गोंधळले होते. 1986 मध्ये, डोरोथी डेनिंग आणि पीटर न्यूमन यांनी IDES (इंट्रुजन डिटेक्शन एक्स्पर्ट सिस्टम) मॉडेल प्रकाशित केले, जे बहुतेक आधुनिक घुसखोरी शोध प्रणालीचा आधार बनले. ज्ञात हल्ले, तसेच सांख्यिकीय पद्धती आणि वापरकर्ता/सिस्टम प्रोफाइल ओळखण्यासाठी तिने तज्ञ प्रणाली वापरली. IDES सन वर्कस्टेशन्सवर धावले, नेटवर्क रहदारी आणि अनुप्रयोग डेटा तपासत आहे. 1993 मध्ये, NIDES (नेक्स्ट-जनरेशन इंट्रुजन डिटेक्शन एक्सपर्ट सिस्टम) जारी करण्यात आली - एक नवीन पिढीची घुसखोरी शोध तज्ञ प्रणाली.

डेनिंग आणि न्यूमन यांच्या कार्यावर आधारित, MIDAS (Multics intrusion detection and alerting system) तज्ञ प्रणाली 1988 मध्ये P-BEST आणि LISP वापरून दिसली. त्याच वेळी, सांख्यिकीय पद्धतींवर आधारित हेस्टॅक प्रणाली तयार केली गेली. आणखी एक सांख्यिकीय विसंगती शोधक, W&S (Wisdom & Sense), एका वर्षानंतर लॉस अलामोस नॅशनल लॅबोरेटरीमध्ये विकसित करण्यात आला. उद्योगाचा विकास झपाट्याने झाला. उदाहरणार्थ, 1990 मध्ये, अनुक्रमिक वापरकर्ता नमुन्यांची (सामान्य LISP भाषा) इंडक्टिव्ह लर्निंग वापरून TIM (वेळ-आधारित प्रेरक मशीन) प्रणालीमध्ये विसंगती शोध आधीच लागू करण्यात आला होता. NSM (नेटवर्क सिक्युरिटी मॉनिटर) ने विसंगती शोधण्यासाठी प्रवेश मॅट्रिक्सची तुलना केली आणि ISOA (माहिती सुरक्षा अधिकारी सहाय्यक) ने विविध शोध धोरणांना समर्थन दिले: सांख्यिकीय पद्धती, प्रोफाइल तपासणी आणि तज्ञ प्रणाली. AT&T बेल लॅब्समध्ये तयार करण्यात आलेल्या कॉम्प्युटरवॉच प्रणालीने पडताळणीसाठी सांख्यिकीय पद्धती आणि नियम दोन्ही वापरले आणि कॅलिफोर्निया विद्यापीठाच्या विकसकांना 1991 मध्ये वितरित आयडीएसचा पहिला प्रोटोटाइप मिळाला - DIDS (डिस्ट्रिब्युटेड इंट्रूजन डिटेक्शन सिस्टीम) हे देखील तज्ञ होते. प्रणाली

प्रथम, आयडीएस मालकीचे होते, परंतु आधीच 1998 मध्ये, राष्ट्रीय प्रयोगशाळा. बर्कले येथील लॉरेन्सने ब्रो (2018 मध्ये झीकचे नाव बदलले) रिलीज केले, एक मुक्त स्रोत प्रणाली जी libpcap डेटा पार्स करण्यासाठी स्वतःच्या नियमांची भाषा वापरते. त्याच वर्षी नोव्हेंबरमध्ये, libpcap वापरून एपीई पॅकेट स्निफर दिसू लागले, ज्याचे एक महिन्यानंतर स्नॉर्ट असे नामकरण करण्यात आले आणि नंतर ते पूर्ण आयडीएस/आयपीएस बनले. त्याच वेळी, असंख्य मालकीचे उपाय दिसू लागले.

Snort आणि Suricata

बर्‍याच कंपन्या फ्री आणि ओपन सोर्स आयडीएस/आयपीएसला प्राधान्य देतात. बर्याच काळापासून, आधीच नमूद केलेल्या स्नॉर्टला मानक उपाय मानले जात होते, परंतु आता ते सुरीकाटा सिस्टमने बदलले आहे. थोडे अधिक तपशीलाने त्यांचे फायदे आणि तोटे विचारात घ्या. स्नॉर्ट रिअल-टाइम विसंगती शोधासह स्वाक्षरी पद्धतीचे फायदे एकत्र करते. Suricata आक्रमण स्वाक्षरी शोधण्याव्यतिरिक्त इतर पद्धतींना देखील अनुमती देते. Snort प्रकल्पापासून वेगळे झालेल्या आणि आवृत्ती 1.4 पासून IPS वैशिष्ट्यांचे समर्थन करणार्‍या विकासकांच्या गटाने ही प्रणाली तयार केली आहे, तर नंतर Snort मध्ये घुसखोरी प्रतिबंध दिसला.

दोन लोकप्रिय उत्पादनांमधील मुख्य फरक म्हणजे आयडीएस कंप्युटिंगसाठी जीपीयू वापरण्याची सुरिकाटाची क्षमता, तसेच अधिक प्रगत IPS. प्रणाली मूळतः मल्टी-थ्रेडिंगसाठी डिझाइन केली गेली होती, तर स्नॉर्ट एकल-थ्रेडेड उत्पादन आहे. त्याच्या दीर्घ इतिहासामुळे आणि लेगसी कोडमुळे, ते मल्टी-प्रोसेसर/मल्टी-कोर हार्डवेअर प्लॅटफॉर्मचा इष्टतम वापर करत नाही, तर Suricata सामान्य सामान्य उद्देश संगणकांवर 10 Gbps पर्यंत रहदारी हाताळू शकते. आपण दोन सिस्टममधील समानता आणि फरकांबद्दल बर्याच काळासाठी बोलू शकता, परंतु जरी सुरिकाटा इंजिन जलद कार्य करत असले तरी, खूप विस्तृत चॅनेल नसल्यामुळे काही फरक पडत नाही.

उपयोजन पर्याय

IPS अशा प्रकारे ठेवले पाहिजे की सिस्टम त्याच्या नियंत्रणाखाली असलेल्या नेटवर्क विभागांचे निरीक्षण करू शकेल. बर्‍याचदा, हा एक समर्पित संगणक असतो, ज्याचा एक इंटरफेस एज डिव्हाइसेसनंतर कनेक्ट होतो आणि त्यांच्याद्वारे असुरक्षित सार्वजनिक नेटवर्क (इंटरनेट) वर "दिसतो". दुसरा IPS इंटरफेस संरक्षित विभागाच्या इनपुटशी जोडलेला आहे जेणेकरून सर्व रहदारी सिस्टममधून जाते आणि त्याचे विश्लेषण केले जाते. अधिक जटिल प्रकरणांमध्ये, अनेक संरक्षित विभाग असू शकतात: उदाहरणार्थ, कॉर्पोरेट नेटवर्क्समध्ये, एक डिमिलिटराइज्ड झोन (DMZ) अनेकदा इंटरनेटवरून उपलब्ध असलेल्या सेवांसह वाटप केले जाते.

असा IPS पोर्ट स्कॅनिंग किंवा ब्रूट-फोर्स हल्ले, मेल सर्व्हर, वेब सर्व्हर किंवा स्क्रिप्टमधील भेद्यतेचे शोषण तसेच इतर प्रकारचे बाह्य हल्ले रोखू शकतो. स्थानिक नेटवर्कवरील संगणक मालवेअरने संक्रमित असल्यास, IDS त्यांना बाहेरील बॉटनेट सर्व्हरशी संपर्क साधू देणार नाही. अंतर्गत नेटवर्कच्या अधिक गंभीर संरक्षणासाठी बहुधा वितरित प्रणालीसह जटिल कॉन्फिगरेशन आणि एका पोर्टशी कनेक्ट केलेल्या IDS इंटरफेससाठी रहदारी मिररिंग करण्यास सक्षम महाग व्यवस्थापित स्विचची आवश्यकता असेल.

बर्‍याचदा कॉर्पोरेट नेटवर्क डिस्ट्रिब्युटेड डिनायल-ऑफ-सर्व्हिस (DDoS) हल्ल्यांच्या अधीन असतात. जरी आधुनिक आयडीएस त्यांच्याशी व्यवहार करू शकतात, वरील उपयोजन पर्यायाची येथे फारशी मदत नाही. प्रणाली दुर्भावनापूर्ण क्रियाकलाप ओळखते आणि बनावट रहदारी अवरोधित करते, परंतु यासाठी, पॅकेट्सने बाह्य इंटरनेट कनेक्शनमधून जाणे आणि त्याच्या नेटवर्क इंटरफेसपर्यंत पोहोचणे आवश्यक आहे. हल्ल्याच्या तीव्रतेवर अवलंबून, डेटा ट्रान्समिशन चॅनेल लोडचा सामना करू शकत नाही आणि हल्लेखोरांचे लक्ष्य साध्य केले जाईल. अशा प्रकरणांसाठी, आम्ही ज्ञात चांगल्या इंटरनेट कनेक्शनसह व्हर्च्युअल सर्व्हरवर IDS तैनात करण्याची शिफारस करतो. तुम्ही VPS ला VPN द्वारे स्थानिक नेटवर्कशी कनेक्ट करू शकता आणि त्यानंतर तुम्हाला त्याद्वारे सर्व बाह्य रहदारीचे राउटिंग कॉन्फिगर करावे लागेल. त्यानंतर, DDoS हल्ला झाल्यास, तुम्हाला प्रदात्याच्या कनेक्शनद्वारे पॅकेट चालवावी लागणार नाहीत, ती बाह्य होस्टवर ब्लॉक केली जातील.

निवड समस्या

मुक्त प्रणालींमध्ये नेता ओळखणे फार कठीण आहे. आयडीएस / आयपीएसची निवड नेटवर्क टोपोलॉजी, आवश्यक संरक्षण कार्ये, तसेच प्रशासकाची वैयक्तिक प्राधान्ये आणि सेटिंग्जमध्ये फिरण्याची त्याची इच्छा याद्वारे निर्धारित केली जाते. Snort चा इतिहास मोठा आहे आणि त्याचे दस्तऐवजीकरण चांगले आहे, जरी Suricata वरील माहिती ऑनलाइन शोधणे देखील सोपे आहे. कोणत्याही परिस्थितीत, सिस्टममध्ये प्रभुत्व मिळविण्यासाठी, आपल्याला काही प्रयत्न करावे लागतील, जे शेवटी पैसे देतील - व्यावसायिक हार्डवेअर आणि हार्डवेअर-सॉफ्टवेअर आयडीएस / आयपीएस खूप महाग आहेत आणि नेहमी बजेटमध्ये बसत नाहीत. आपण घालवलेल्या वेळेबद्दल पश्चात्ताप करू नये, कारण एक चांगला प्रशासक नेहमीच नियोक्ताच्या खर्चावर आपली पात्रता सुधारतो. या परिस्थितीत, प्रत्येकजण जिंकतो. पुढील लेखात, आम्ही Suricata तैनात करण्यासाठी काही पर्याय पाहू आणि सरावातील क्लासिक IDS/IPS Snort शी अधिक आधुनिक प्रणालीची तुलना करू.

स्त्रोत: www.habr.com