Snort वा Suricata। भाग 1: तपाइँको कर्पोरेट नेटवर्क सुरक्षित गर्न नि: शुल्क IDS/IPS छनोट गर्दै

एक पटक, एक साधारण फायरवाल र एन्टिभाइरस प्रोग्रामहरू स्थानीय नेटवर्कको सुरक्षा गर्न पर्याप्त थिए, तर यस्तो सेट आधुनिक ह्याकरहरूको आक्रमण र हालै फैलिएको मालवेयर विरुद्ध पर्याप्त प्रभावकारी छैन। राम्रो पुरानो फायरवालले प्याकेट हेडरहरू मात्र विश्लेषण गर्दछ, औपचारिक नियमहरूको सेट अनुसार तिनीहरूलाई पास गर्दै वा रोक्दै। यसले प्याकेजहरूको सामग्रीहरूको बारेमा केही थाहा छैन, र त्यसैले घुसपैठहरूको बाहिरी रूपमा वैध कार्यहरू पहिचान गर्न सक्दैन। एन्टिभाइरस प्रोग्रामहरूले सधैं मालवेयर समात्दैनन्, त्यसैले प्रशासकले असामान्य गतिविधिको अनुगमन गर्ने र समयमै संक्रमित होस्टहरूलाई अलग गर्ने कार्यको सामना गर्नुपरेको छ।

त्यहाँ धेरै उन्नत उपकरणहरू छन् जसले तपाईंलाई कम्पनीको IT पूर्वाधारको सुरक्षा गर्न अनुमति दिन्छ। आज हामी खुल्ला स्रोत घुसपैठ पत्ता लगाउने र रोकथाम प्रणालीहरूको बारेमा कुरा गर्नेछौं जुन महँगो हार्डवेयर र सफ्टवेयर इजाजतपत्रहरू खरिद नगरी लागू गर्न सकिन्छ।

IDS/IPS वर्गीकरण

IDS (Intrusion Detection System) नेटवर्कमा वा छुट्टै कम्प्युटरमा शंकास्पद गतिविधिहरू दर्ता गर्न डिजाइन गरिएको प्रणाली हो। यसले घटना लगहरू राख्छ र तिनीहरूको बारेमा जानकारी सुरक्षाको लागि जिम्मेवार व्यक्तिलाई सूचित गर्दछ। IDS मा निम्न तत्वहरू समावेश छन्:

• नेटवर्क ट्राफिक, विभिन्न लगहरू, आदि हेर्नका लागि सेन्सरहरू। 
• प्राप्त डाटामा हानिकारक प्रभावहरूको संकेत पत्ता लगाउने विश्लेषण उपप्रणाली;
• प्राथमिक घटनाहरू र विश्लेषण परिणामहरूको संचयको लागि भण्डारण;
• व्यवस्थापन कन्सोल।

प्रारम्भमा, IDS लाई स्थान अनुसार वर्गीकृत गरिएको थियो: तिनीहरू व्यक्तिगत नोडहरू (होस्ट-आधारित वा होस्ट इन्ट्रुजन डिटेक्शन सिस्टम - HIDS) वा सम्पूर्ण कर्पोरेट नेटवर्क (सञ्जाल-आधारित वा नेटवर्क घुसपैठ पत्ता लगाउने प्रणाली - NIDS) को सुरक्षामा केन्द्रित हुन सक्छन्। यो तथाकथित उल्लेख गर्न लायक छ। APIDS (एप्लिकेशन प्रोटोकल-आधारित IDS): तिनीहरूले विशिष्ट आक्रमणहरू पत्ता लगाउन एप्लिकेसन लेयर प्रोटोकलहरूको सीमित सेटको निगरानी गर्छन् र नेटवर्क प्याकेटहरू गहिरो विश्लेषण गर्दैनन्। त्यस्ता उत्पादनहरू प्राय: प्रोक्सीहरूसँग मिल्दोजुल्दो हुन्छन् र विशेष सेवाहरू सुरक्षित गर्न प्रयोग गरिन्छ: वेब सर्भर र वेब अनुप्रयोगहरू (उदाहरणका लागि, PHP मा लेखिएको), डाटाबेस सर्भरहरू, आदि। यस वर्गको एक विशिष्ट प्रतिनिधि Apache वेब सर्भरको लागि mod_security हो।

हामी विश्वव्यापी NIDS मा बढी चासो राख्छौं जसले संचार प्रोटोकल र DPI (डीप प्याकेट निरीक्षण) प्याकेट विश्लेषण प्रविधिहरूको एक विस्तृत श्रृंखलालाई समर्थन गर्दछ। तिनीहरूले डेटा लिङ्क तहबाट सुरु हुँदै, सबै गुजरने ट्राफिकहरू निगरानी गर्छन्, र नेटवर्क आक्रमणहरूको विस्तृत दायरा पत्ता लगाउँछन्, साथै जानकारीमा अनधिकृत पहुँच। प्रायः त्यस्ता प्रणालीहरूमा वितरित वास्तुकला हुन्छ र विभिन्न सक्रिय नेटवर्क उपकरणहरूसँग अन्तरक्रिया गर्न सक्छ। ध्यान दिनुहोस् कि धेरै आधुनिक NIDS हाइब्रिड छन् र धेरै दृष्टिकोणहरू संयोजन गर्दछ। कन्फिगरेसन र सेटिङहरूमा निर्भर गर्दै, तिनीहरूले विभिन्न समस्याहरू समाधान गर्न सक्छन् - उदाहरणका लागि, एक नोड वा सम्पूर्ण नेटवर्कको सुरक्षा। थप रूपमा, वर्कस्टेशनहरूका लागि IDS प्रकार्यहरू एन्टी-भाइरस प्याकेजहरू द्वारा कब्जा गरिएको थियो, जुन जानकारी चोरी गर्ने उद्देश्यले ट्रोजनहरूको फैलावटको कारणले, बहु-कार्यात्मक फायरवालहरूमा परिणत भयो जसले संदिग्ध ट्राफिकहरू पहिचान गर्ने र अवरुद्ध गर्ने कार्यहरू पनि समाधान गर्दछ।

प्रारम्भमा, IDS ले मालवेयर गतिविधि, पोर्ट स्क्यानर, वा, भन्नुहोस्, कर्पोरेट सुरक्षा नीतिहरूको प्रयोगकर्ता उल्लङ्घन मात्र पत्ता लगाउन सक्छ। जब एक निश्चित घटना भयो, तिनीहरूले प्रशासकलाई सूचित गरे, तर यो चाँडै स्पष्ट भयो कि केवल आक्रमण पहिचान गर्न पर्याप्त थिएन - यो अवरुद्ध गर्न आवश्यक थियो। त्यसैले IDS IPS (Intrusion Prevention Systems) मा परिणत भयो - घुसपैठ रोकथाम प्रणाली जसले फायरवालहरूसँग अन्तर्क्रिया गर्न सक्छ।

पत्ता लगाउने विधिहरू

आधुनिक घुसपैठ पत्ता लगाउने र रोकथाम समाधानहरूले दुर्भावनापूर्ण गतिविधि पत्ता लगाउन विभिन्न विधिहरू प्रयोग गर्दछ, जसलाई तीन कोटिहरूमा विभाजन गर्न सकिन्छ। यसले हामीलाई वर्गीकरण प्रणालीहरूको लागि अर्को विकल्प दिन्छ:

• हस्ताक्षर-आधारित IDS/IPS ले ट्राफिकमा ढाँचाहरू खोज्छ वा नेटवर्क आक्रमण वा संक्रमण प्रयास पत्ता लगाउन प्रणाली स्थिति परिवर्तनहरू निगरानी गर्दछ। तिनीहरू व्यावहारिक रूपमा गलत फायर र गलत सकारात्मक दिँदैनन्, तर अज्ञात खतराहरू पत्ता लगाउन सक्षम छैनन्;
• विसंगति पत्ता लगाउने आईडीएसहरूले आक्रमण हस्ताक्षरहरू प्रयोग गर्दैनन्। तिनीहरूले सूचना प्रणालीको असामान्य व्यवहार (नेटवर्क ट्राफिकमा विसंगतिहरू सहित) पहिचान गर्छन् र अज्ञात आक्रमणहरू पनि पत्ता लगाउन सक्छन्। त्यस्ता प्रणालीहरूले धेरै झूटा सकारात्मकहरू दिन्छ र, यदि गलत रूपमा प्रयोग गरियो भने, स्थानीय नेटवर्कको सञ्चालनलाई पक्षाघात गर्दछ;
• नियममा आधारित IDS हरू जस्तै: FACT हो भने ACTION। वास्तवमा, यी ज्ञान आधारहरू भएका विशेषज्ञ प्रणालीहरू हुन् - तथ्य र अनुमानका नियमहरूको सेट। त्यस्ता समाधानहरू सेटअप गर्न समय-खपत हुन्छन् र प्रशासकलाई नेटवर्कको विस्तृत बुझाइ आवश्यक हुन्छ। 

IDS विकास को इतिहास

इन्टरनेट र कर्पोरेट सञ्जालहरूको द्रुत विकासको युग पछिल्लो शताब्दीको 90 को दशकमा सुरु भयो, तथापि, विशेषज्ञहरू अलि पहिले उन्नत नेटवर्क सुरक्षा प्रविधिहरू द्वारा अलमलमा परेका थिए। 1986 मा, डोरोथी डेनिङ र पीटर न्यूम्यानले IDES (इन्ट्रुजन पत्ता लगाउने विशेषज्ञ प्रणाली) मोडेल प्रकाशित गरे, जुन सबैभन्दा आधुनिक घुसपैठ पत्ता लगाउने प्रणालीको आधार बन्यो। उनले ज्ञात आक्रमणहरू, साथै सांख्यिकीय विधिहरू र प्रयोगकर्ता/प्रणाली प्रोफाइलहरू पहिचान गर्न विशेषज्ञ प्रणाली प्रयोग गरे। IDES सन वर्कस्टेशनहरूमा चल्यो, नेटवर्क ट्राफिक र अनुप्रयोग डेटा जाँच गर्दै। 1993 मा, NIDES (Next-generation Intrusion Detection Expert System) जारी गरिएको थियो - नयाँ पुस्ताको घुसपैठ पत्ता लगाउने विशेषज्ञ प्रणाली।

Denning र Neumann को काम मा आधारित, MIDAS (Multics intrusion detection and Alerting System) विशेषज्ञ प्रणाली P-BEST र LISP को प्रयोग गरेर 1988 मा देखा पर्‍यो। एकै समयमा, सांख्यिकीय विधिहरूमा आधारित Haystack प्रणाली सिर्जना गरियो। अर्को सांख्यिकीय विसंगति पत्ता लगाउने उपकरण, W&S (विजडम र सेन्स), एक वर्ष पछि लस अलामोस राष्ट्रिय प्रयोगशालामा विकसित गरिएको थियो। उद्योगको विकास तीव्र गतिमा अघि बढ्यो। उदाहरणका लागि, 1990 मा, अनुक्रमिक प्रयोगकर्ता ढाँचा (सामान्य LISP भाषा) मा आगमनात्मक शिक्षा प्रयोग गरेर TIM (समय-आधारित प्रेरक मेसिन) प्रणालीमा विसंगति पत्ता लगाउने कार्य पहिले नै लागू गरिएको थियो। NSM (नेटवर्क सेक्युरिटी मनिटर) ले विसंगति पत्ता लगाउनको लागि पहुँच म्याट्रिकहरू तुलना गर्‍यो, र ISOA (सूचना सुरक्षा अधिकारीको सहायक) ले विभिन्न पत्ता लगाउने रणनीतिहरूलाई समर्थन गर्‍यो: सांख्यिकीय विधिहरू, प्रोफाइल जाँच र विशेषज्ञ प्रणाली। AT&T Bell Labs मा सिर्जना गरिएको ComputerWatch प्रणालीले प्रमाणिकरणका लागि दुवै सांख्यिकीय विधि र नियमहरू प्रयोग गर्‍यो, र क्यालिफोर्निया विश्वविद्यालयका विकासकर्ताहरूले 1991 मा वितरित IDS को पहिलो प्रोटोटाइप प्राप्त गरे - DIDS (वितरित घुसपैठ पत्ता लगाउने प्रणाली) पनि एक विशेषज्ञ थिए। प्रणाली।

सुरुमा, IDS स्वामित्व थियो, तर पहिले नै 1998 मा, राष्ट्रिय प्रयोगशाला। बर्कलेमा लरेन्सले ब्रो (2018 मा Zeek नाम परिवर्तन गर्‍यो), एक खुला स्रोत प्रणाली जारी गर्‍यो जसले libpcap डाटा पार्स गर्नको लागि आफ्नै नियम भाषा प्रयोग गर्दछ। सोही वर्षको नोभेम्बरमा, libpcap प्रयोग गर्ने APE प्याकेट स्निफर देखा पर्‍यो, जसको एक महिना पछि स्नोर्ट नामकरण गरियो, र पछि पूर्ण IDS/IPS भयो। एकै समयमा, धेरै स्वामित्व समाधानहरू देखा पर्न थाले।

Snort र Suricata

धेरै कम्पनीहरूले नि: शुल्क र खुला स्रोत IDS/IPS मन पराउँछन्। लामो समयको लागि, पहिले नै उल्लेख गरिएको Snort मानक समाधान मानिन्थ्यो, तर अब यो Suricata प्रणाली द्वारा प्रतिस्थापित गरिएको छ। थोरै थप विवरणमा तिनीहरूको फाइदा र बेफाइदा विचार गर्नुहोस्। Snort ले वास्तविक समयमा विसंगतिहरू पत्ता लगाउने क्षमताको साथ हस्ताक्षर विधिको फाइदाहरू संयोजन गर्दछ। Suricata ले आक्रमण हस्ताक्षर पत्ता लगाउने बाहेक अन्य विधिहरूलाई पनि अनुमति दिन्छ। यो प्रणाली विकासकर्ताहरूको समूहद्वारा सिर्जना गरिएको हो जसले Snort परियोजनाबाट अलग भयो र संस्करण 1.4 बाट IPS सुविधाहरू समर्थन गर्दछ, जबकि घुसपैठ रोकथाम पछि Snort मा देखा पर्‍यो।

दुई लोकप्रिय उत्पादनहरू बीचको मुख्य भिन्नता भनेको IDS कम्प्युटिङका ​​लागि GPU प्रयोग गर्ने Suricata को क्षमता हो, साथै थप उन्नत IPS। प्रणाली मूल रूपमा बहु-थ्रेडिङको लागि डिजाइन गरिएको थियो, जबकि स्नोर्ट एकल-थ्रेडेड उत्पादन हो। यसको लामो इतिहास र लिगेसी कोडको कारणले, यसले बहु-प्रोसेसर/मल्टी-कोर हार्डवेयर प्लेटफर्महरूको इष्टतम प्रयोग गर्दैन, जबकि Suricata सामान्य सामान्य उद्देश्य कम्प्युटरहरूमा 10 Gbps सम्म ट्राफिक ह्यान्डल गर्न सक्छ। तपाईं लामो समयको लागि दुई प्रणालीहरू बीच समानता र भिन्नताहरूको बारेमा कुरा गर्न सक्नुहुन्छ, तर यद्यपि Suricata इन्जिनले छिटो काम गर्दछ, धेरै फराकिलो च्यानलहरूको लागि यो फरक पर्दैन।

परिनियोजन विकल्प

IPS लाई यसरी राखिएको हुनुपर्छ कि प्रणालीले आफ्नो नियन्त्रणमा रहेको नेटवर्क खण्डहरू निगरानी गर्न सक्छ। प्रायः, यो एक समर्पित कम्प्युटर हो, जसको एउटा इन्टरफेस किनारा उपकरणहरू पछि जडान हुन्छ र तिनीहरू मार्फत असुरक्षित सार्वजनिक नेटवर्कहरू (इन्टरनेट) मा "हेर्छ"। अर्को IPS इन्टरफेस सुरक्षित खण्डको इनपुटमा जडान गरिएको छ ताकि सबै ट्राफिक प्रणाली मार्फत जान्छ र विश्लेषण गरिन्छ। थप जटिल अवस्थाहरूमा, त्यहाँ धेरै सुरक्षित क्षेत्रहरू हुन सक्छन्: उदाहरणका लागि, कर्पोरेट नेटवर्कहरूमा, इन्टरनेटबाट पहुँचयोग्य सेवाहरूको साथ एक असैनिकीकृत क्षेत्र (DMZ) प्रायः आवंटित गरिन्छ।

यस्तो IPS ले पोर्ट स्क्यानिङ वा ब्रूट-फोर्स आक्रमणहरू, मेल सर्भर, वेब सर्भर वा स्क्रिप्टहरूमा कमजोरीहरूको शोषण, साथै अन्य प्रकारका बाह्य आक्रमणहरूलाई रोक्न सक्छ। यदि स्थानीय नेटवर्कमा कम्प्युटरहरू मालवेयरबाट संक्रमित छन् भने, IDS ले तिनीहरूलाई बाहिर स्थित बोटनेट सर्भरहरूमा सम्पर्क गर्न अनुमति दिँदैन। आन्तरिक सञ्जालको थप गम्भीर सुरक्षाको लागि सम्भवतः वितरित प्रणालीको साथ जटिल कन्फिगरेसन र पोर्टहरू मध्ये एकमा जडान भएको IDS इन्टरफेसको लागि ट्राफिक मिरर गर्न सक्षम महँगो व्यवस्थित स्विचहरू आवश्यक पर्दछ।

प्राय: कर्पोरेट नेटवर्कहरू डिस्ट्रिब्युटेड डिनायल अफ सर्भिस (DDoS) आक्रमणहरूको अधीनमा हुन्छन्। यद्यपि आधुनिक IDS ले तिनीहरूसँग व्यवहार गर्न सक्छ, माथिको डिप्लोयमेन्ट विकल्पले यहाँ थोरै मद्दत गर्छ। प्रणालीले दुर्भावनापूर्ण गतिविधिलाई पहिचान गर्छ र नक्कली ट्राफिकलाई रोक्छ, तर यसका लागि प्याकेटहरू बाह्य इन्टरनेट जडान मार्फत जानुपर्छ र यसको नेटवर्क इन्टरफेसमा पुग्नुपर्छ। आक्रमणको तीव्रतामा निर्भर गर्दै, डाटा ट्रान्समिशन च्यानलले लोडसँग सामना गर्न सक्षम नहुन सक्छ र आक्रमणकारीहरूको लक्ष्य हासिल हुनेछ। त्यस्ता अवस्थाहरूको लागि, हामी ज्ञात राम्रो इन्टरनेट जडानको साथ भर्चुअल सर्भरमा IDS प्रयोग गर्न सिफारिस गर्छौं। तपाइँ VPS लाई VPN मार्फत स्थानीय नेटवर्कमा जडान गर्न सक्नुहुन्छ, र त्यसपछि तपाइँ यसको माध्यमबाट सबै बाह्य ट्राफिकको मार्ग कन्फिगर गर्न आवश्यक हुनेछ। त्यसपछि, DDoS आक्रमणको घटनामा, तपाईंले प्रदायकसँग जडान मार्फत प्याकेटहरू चलाउनु पर्दैन, तिनीहरू बाह्य होस्टमा रोकिनेछन्।

विकल्प समस्या

यो स्वतन्त्र प्रणाली बीच एक नेता पहिचान गर्न धेरै गाह्रो छ। IDS / IPS को छनोट नेटवर्क टोपोलोजी, आवश्यक सुरक्षा सुविधाहरू, साथै प्रशासकको व्यक्तिगत प्राथमिकताहरू र सेटिङहरूसँग फिडल गर्ने इच्छा द्वारा निर्धारण गरिन्छ। Snort को लामो इतिहास छ र राम्रो दस्तावेज गरिएको छ, यद्यपि Suricata मा जानकारी पनि अनलाइन पाउन सजिलो छ। कुनै पनि अवस्थामा, प्रणाली मास्टर गर्न, तपाईंले केही प्रयासहरू गर्नुपर्नेछ, जसले अन्ततः भुक्तानी गर्नेछ - व्यावसायिक हार्डवेयर र हार्डवेयर-सफ्टवेयर IDS / IPS धेरै महँगो छन् र सधैं बजेटमा फिट हुँदैन। तपाईंले समय बिताएकोमा पछुताउनु हुँदैन, किनकि राम्रो प्रशासकले सधैं नियोक्ताको खर्चमा आफ्नो योग्यता सुधार गर्दछ। यस्तो अवस्थामा सबैको जित हुन्छ । अर्को लेखमा, हामी Suricata प्रयोग गर्नका लागि केही विकल्पहरू हेर्नेछौं र अभ्यासमा क्लासिक IDS/IPS Snort सँग थप आधुनिक प्रणाली तुलना गर्नेछौं।

स्रोत: www.habr.com