{"id":85990,"date":"2020-06-21T01:42:12","date_gmt":"2020-06-20T23:42:12","guid":{"rendered":"https:\/\/prohoster.info\/blog\/administrirovanie\/snort-ili-suricata-chast-2-ustanovka-i-pervichnaya-nastrojka-suricata"},"modified":"2020-06-21T01:42:12","modified_gmt":"2020-06-20T23:42:12","slug":"snort-ili-suricata-chast-2-ustanovka-i-pervichnaya-nastrojka-suricata","status":"publish","type":"post","link":"https:\/\/prohoster.info\/sl\/blog\/administrirovanie\/snort-ili-suricata-chast-2-ustanovka-i-pervichnaya-nastrojka-suricata","title":{"rendered":"Snort ali Suricata. Del 2: namestitev in za\u010detna nastavitev Suricata","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

\u010ce verjamemo statistiki, se obseg omre\u017enega prometa vsako leto pove\u010duje za pribli\u017eno 50 %. To vodi v pove\u010danje obremenitve opreme in posledi\u010dno dviga zahteve po zmogljivosti IDS\/IPS. Lahko kupite drago specializirano strojno opremo, vendar je tukaj cenej\u0161a mo\u017enost \u2013 uvedba ene od sistemov z odprtokodnim izvorom. Mnogi za\u010detniki administratri menijo, da je namestitev in konfiguracija brezpla\u010dne IPS precej zapletena. V primeru Suricate to ni povsem res \u2013 namestitev in za\u010detek obrambe pred tipi\u010dnimi napadi s paketom brezpla\u010dnih pravil lahko opravite v nekaj minutah.<\/p>\n

\"Snort<\/a><\/noindex><\/a><\/noindex>
\nSnort ili Suricata. Deo 1: biramo besplatan IDS\/IPS za za\u0161titu korporativne mre\u017ee<\/a><\/noindex><\/p>\n

Zakaj \u0161e ena odprta IPS?<\/h2>\n

\nDolgo \u010dasa je bila standardni sistem Snort, ki se razvija od konca devetdesetih let, zato je bila sprva enovita. Tehni\u010dne novosti, kot so podpora za IPv6, mo\u017enost analize protokolov aplikacijskega nivoja ali univerzalni dostop do podatkov, so se pojavile \u0161ele po mnogih letih. <\/p>\n

Osnovni motor Snort 2.X je nau\u010dil delati z ve\u010d jedri, vendar je ostal enoviten in zato ne more optimalno izkoristiti prednosti sodobnih strojnih platform. <\/p>\n

Te\u017eava je bila re\u0161ena v tretji razli\u010dici sistema, vendar so jo pripravljali tako dolgo, da je na trgu \u017ee nastala Suricata, napisana iz ni\u010d. Leto 2009 je bilo za\u010detek njenega razvoja kot ve\u010dnitne alternative Snort, ki \u017ee ima funkcionalnosti IPS. Koda se \u0161iri pod licenco GPLv2, vendar imajo finan\u010dni partnerji projekta dostop do zaprte razli\u010dice motorja. V prvih razli\u010dicah sistema so se pojavile nekatere te\u017eave s skalabilnostjo, vendar so bile razmeroma hitro re\u0161ene.<\/p>\n

Zakaj Suricata?<\/h2>\n

\nV Suricata obstaja ve\u010d modulov (kot tudi v Snortu): zajem, zbiranje, dekodiranje, odkrivanje in izhod. Privzeto zajeti promet poteka do dekodiranja v enem toku, \u010deprav to bolj obremeni sistem. Po potrebi lahko tokove lo\u010dimo v nastavitvah in jih razporedimo po procesorjih \u2014 Suricata se zelo dobro optimizira za konkretno strojno opremo, \u010deprav to ni ve\u010d na ravni HOWTO za za\u010detnike. Prav tako je vredno omeniti prisotnost naprednih orodij za in\u0161pekcijo HTTP, ki temeljijo na knji\u017enici HTP. Ta se lahko uporablja tudi za bele\u017eenje prometa brez odkrivanja. Sistem prav tako podpira dekodiranje IPv6, vklju\u010dno s tuneli IPv4-in-IPv6, IPv6-in-IPv6 in drugimi. <\/p>\n

Za zajem prometa se lahko uporabljajo razli\u010dni vmesniki (NFQueue, IPFRing, LibPcap, IPFW, AF_PACKET, PF_RING), v na\u010dinu Unix Socket pa lahko avtomatsko analiziramo zajete datoteke PCAP, ki jih je uporabil drug sniffer. Poleg tega modularna arhitektura Suricate poenostavi priklju\u010ditev novih elementov za zajemanje, dekodiranje, analizo in obdelavo omre\u017enih paketov. Pomembno je tudi omeniti, da Suricata blokira promet s sredstvi vgrajenega filtra operacijskega sistema. V GNU\/Linux sta na voljo dva na\u010dina delovanja IPS: preko vrste NFQUEUE (na\u010din NFQ) in preko zero copy (na\u010din AF_PACKET). V prvem primeru paket, ki pride v iptables, gre v vrsto NFQUEUE, kjer ga lahko obdelujemo na uporabni\u0161ki ravni. Suricata ga pregleda po svojih pravilih in izda eno od treh odlo\u010ditev: NF_ACCEPT, NF_DROP in NF_REPEAT. Prva dva ne zahtevata pojasnila, zadnji pa omogo\u010da ozna\u010devanje paketov in njihovo po\u0161iljanje na za\u010detek trenutne tabele iptables. Na\u010din AF_PACKET se pona\u0161a z vi\u0161jo u\u010dinkovitostjo, vendar nalaga sistemu vrsto omejitev: mora imeti dva omre\u017ena vmesnika in delovati kot prehod. Zablokirani paket se enostavno ne posreduje na drugi vmesnik. <\/p>\n

Pomembna lastnost Suricate je mo\u017enost uporabe re\u0161itev, razvitih za Snort. Administratorju so na voljo, med drugim, zbirke pravil Sourcefire VRT in OpenSource Emerging Threats ter komercialne Emerging Threats Pro. Enoten izhod je mogo\u010de analizirati s priljubljenimi backendi, podprt pa je tudi izhod v PCAP in Syslog. Nastavitve sistema in pravila so shranjena v datotekah formata YAML, ki je lahko berljiv in ga je mogo\u010de obdelati avtomatsko. Motor Suricata prepozna \u0161tevilne protokole, zato v pravilih ni treba vezati na \u0161tevilko vrat. Poleg tega v pravilih Suricata aktivno prakticira koncept flowbits. Za sledenje dogodkom se uporabljajo spremenljivke seje, ki omogo\u010dajo ustvarjanje in uporabo razli\u010dnih \u0161tevcov in zastavic. Mnogi IDS obravnavajo razli\u010dne TCP povezave kot lo\u010dene entitete in morda ne opazijo povezav med njimi, kar lahko pomeni za\u010detek napada. Suricata sku\u0161a videti celotno sliko in v mnogih primerih prepozna zlonamerni promet, razporejen po razli\u010dnih povezavah. O njenih prednostih bi se lahko dolgo razpravljalo, raje pa se usmerimo na namestitev in nastavitev.<\/p>\n

Kako namestiti?<\/h2>\n

\nNamestili bomo Suricato na virtualnem stre\u017eniku, ki deluje pod operacijskim sistemom Ubuntu 18.04 LTS. Vse ukaze je treba izvajati v imenu superuporabnika (root). Najbolj varen na\u010din je dostop do stre\u017enika prek SSH z obi\u010dajnimi pravicami uporabnika, nato pa uporabiti orodje sudo za pridobitev pravic. Najprej je treba namestiti pakete, ki jih bomo potrebovali:<\/p>\n

sudo apt -y install libpcre3 libpcre3-dev build-essential autoconf automake libtool libpcap-dev libnet1-dev libyaml-0-2 libyaml-dev zlib1g zlib1g-dev libmagic-dev libcap-ng-dev libjansson-dev pkg-config libnetfilter-queue-dev geoip-bin geoip-database geoipupdate apt-transport-https<\/code><\/pre>\n
\nPove\u017eemo zunanji repozitorij:<\/p>\n
sudo add-apt-repository ppa:oisf\/suricata-stable\nsudo apt-get update<\/code><\/pre>\n
\nNamestimo najnovej\u0161o stabilno razli\u010dico Suricate:<\/p>\n
sudo apt-get install suricata<\/code><\/pre>\n
\nPo potrebi prilagodimo konfiguracijske datoteke imena, zamenjamo privzeto uporabljeno eth0 z dejanskim imenom zunanjega vmesnika stre\u017enika. Privzete nastavitve so shranjene v datoteki \/etc\/default\/suricata, uporabni\u0161ke pa v \/etc\/suricata\/suricata.yaml. Konfiguracija IDS je ve\u010dinoma omejena na urejanje te konfiguracijske datoteke. V njej je veliko parametrov, katerih imena in nameni se ujemajo z analogi iz Snorta. Sintaksa je sicer popolnoma druga\u010dna, vendar je datoteko la\u017eje brati kot nastavitve Snorta, poleg tega pa je dobro komentirana.<\/p>\n
sudo nano \/etc\/default\/suricata<\/code><\/pre>\n
\n\"Snort
\n
\nin<\/p>\n
sudo nano \/etc\/suricata\/suricata.yaml<\/code><\/pre>\n
\n\"Snort
\n
\nOpozorilo! Pred zagonem je treba preveriti vrednosti spremenljivk iz razdelka vars.<\/p>\n
Za dokon\u010danje nastavitve bo potrebno namestiti suricata-update za posodabljanje in prenos pravil. To lahko storite zelo preprosto:<\/p>\n
sudo apt install python-pip\nsudo pip install pyyaml\nsudo pip install <a href="https:\/\/github.com\/OISF\/suricata-update\/archive\/master.zip">https:\/\/github.com\/OISF\/suricata-update\/archive\/master.zip<\/a>\nsudo pip install --pre --upgrade suricata-update<\/code><\/pre>\n
\nNato moramo zagnati ukaz suricata-update za namestitev niza pravil Emerging Threats Open:<\/p>\n
sudo suricata-update<\/code><\/pre>\n
\n\"Snort
\n
\nZa ogled seznama virov pravil izvedemo naslednji ukaz:<\/p>\n
sudo suricata-update list-sources<\/code><\/pre>\n
\n\"Snort
\n
\nPosodabljamo vire pravil:<\/p>\n
sudo suricata-update update-sources<\/code><\/pre>\n
\n\"Snort
\n
\nPonovno preverimo posodobljene vire:<\/p>\n
sudo suricata-update list-sources<\/code><\/pre>\n
\nPo potrebi lahko omogo\u010dimo razpolo\u017eljive brezpla\u010dne vire:<\/p>\n
sudo suricata-update enable-source ptresearch\/attackdetection\nsudo suricata-update enable-source oisf\/trafficid\nsudo suricata-update enable-source sslbl\/ssl-fp-blacklist<\/code><\/pre>\n
\nPo tem je potrebno \u0161e enkrat posodobiti pravila:<\/p>\n
sudo suricata-update<\/code><\/pre>\n
\nNamestitev in za\u010detna nastavitev Suricate v Ubuntu 18.04 LTS sta tako zaklju\u010deni. Naprej sledi najzanimivej\u0161e: v naslednjem \u010dlanku bomo povezali virtualni stre\u017enik z pisarni\u0161ko omre\u017eje prek VPN in za\u010deli analizirati ves prihajajo\u010di in odhajajo\u010di promet. Posebno pozornost bomo posvetili blokiranju napadov DDoS, aktivnosti zlonamerne programske opreme in poskusom izkori\u0161\u010danja ranljivosti pri storitvah, dostopnih iz javnih omre\u017eij. Za bolj\u0161o predstavo bodo simulirani napadi najpogostej\u0161ih tipov.<\/p>\n
\"Snort<\/a><\/noindex><\/p>\n
\"Snort<\/a><\/noindex>
\n
Izvor: habr.com<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"
\u0415\u0441\u043b\u0438 \u0432\u0435\u0440\u0438\u0442\u044c \u0441\u0442\u0430\u0442\u0438\u0441\u0442\u0438\u043a\u0435, \u043e\u0431\u044a\u0435\u043c \u0441\u0435\u0442\u0435\u0432\u043e\u0433\u043e \u0442\u0440\u0430\u0444\u0438\u043a\u0430 \u0443\u0432\u0435\u043b\u0438\u0447\u0438\u0432\u0430\u0435\u0442\u0441\u044f \u043f\u0440\u0438\u043c\u0435\u0440\u043d\u043e \u043d\u0430 50% \u043a\u0430\u0436\u0434\u044b\u0439 \u0433\u043e\u0434. \u042d\u0442\u043e \u043f\u0440\u0438\u0432\u043e\u0434\u0438\u0442 \u043a \u0440\u043e\u0441\u0442\u0443 \u043d\u0430\u0433\u0440\u0443\u0437\u043a\u0438 \u043d\u0430 \u043e\u0431\u043e\u0440\u0443\u0434\u043e\u0432\u0430\u043d\u0438\u0435 \u0438, \u0432 \u0447\u0430\u0441\u0442\u043d\u043e\u0441\u0442\u0438, \u043f\u043e\u0432\u044b\u0448\u0430\u0435\u0442 \u0442\u0440\u0435\u0431\u043e\u0432\u0430\u043d\u0438\u044f \u043a \u043f\u0440\u043e\u0438\u0437\u0432\u043e\u0434\u0438\u0442\u0435\u043b\u044c\u043d\u043e\u0441\u0442\u0438 IDS\/IPS. \u041c\u043e\u0436\u043d\u043e \u043f\u043e\u043a\u0443\u043f\u0430\u0442\u044c \u0434\u043e\u0440\u043e\u0433\u043e\u0441\u0442\u043e\u044f\u0449\u0435\u0435 \u0441\u043f\u0435\u0446\u0438\u0430\u043b\u0438\u0437\u0438\u0440\u043e\u0432\u0430\u043d\u043d\u043e\u0435 \u0436\u0435\u043b\u0435\u0437\u043e, \u043d\u043e \u0435\u0441\u0442\u044c \u0432\u0430\u0440\u0438\u0430\u043d\u0442 \u043f\u043e\u0434\u0435\u0448\u0435\u0432\u043b\u0435 \u2014 \u0432\u043d\u0435\u0434\u0440\u0435\u043d\u0438\u0435 \u043e\u0434\u043d\u043e\u0439 \u0438\u0437 \u0441\u0438\u0441\u0442\u0435\u043c \u0441 \u043e\u0442\u043a\u0440\u044b\u0442\u044b\u043c \u0438\u0441\u0445\u043e\u0434\u043d\u044b\u043c \u043a\u043e\u0434\u043e\u043c. \u041c\u043d\u043e\u0433\u0438\u0435 \u043d\u0430\u0447\u0438\u043d\u0430\u044e\u0449\u0438\u0435 \u0430\u0434\u043c\u0438\u043d\u0438\u0441\u0442\u0440\u0430\u0442\u043e\u0440\u044b \u0441\u0447\u0438\u0442\u0430\u044e\u0442, \u0431\u0443\u0434\u0442\u043e \u0443\u0441\u0442\u0430\u043d\u043e\u0432\u0438\u0442\u044c \u0438 \u0441\u043a\u043e\u043d\u0444\u0438\u0433\u0443\u0440\u0438\u0440\u043e\u0432\u0430\u0442\u044c \u0431\u0435\u0441\u043f\u043b\u0430\u0442\u043d\u0443\u044e IPS […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":85991,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[688],"tags":[],"class_list":["post-85990","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-administrirovanie"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\n","aioseo_head_json":{"title":"\ud83e\udd47Snort ali Suricata. Del 2: namestitev in za\u010detna nastavitev Suricata | ProHoster","description":"\u010ce verjamemo statistiki, obseg omre\u017enega prometa vsako leto pove\u010da za pribli\u017eno 50%. To povzro\u010da pove\u010danje obremenitve opreme in posebej pove\u010duje zahteve po zmogljivosti IDS\/IPS.","canonical_url":"https:\/\/prohoster.info\/sl\/blog\/administrirovanie\/snort-ili-suricata-chast-2-ustanovka-i-pervichnaya-nastrojka-suricata","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"sl_SI","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47Snort \u0438\u043b\u0438 Suricata. \u0427\u0430\u0441\u0442\u044c 2: \u0443\u0441\u0442\u0430\u043d\u043e\u0432\u043a\u0430 \u0438 \u043f\u0435\u0440\u0432\u0438\u0447\u043d\u0430\u044f \u043d\u0430\u0441\u0442\u0440\u043e\u0439\u043a\u0430 Suricata | ProHoster","og:description":"\u0415\u0441\u043b\u0438 \u0432\u0435\u0440\u0438\u0442\u044c \u0441\u0442\u0430\u0442\u0438\u0441\u0442\u0438\u043a\u0435, \u043e\u0431\u044a\u0435\u043c \u0441\u0435\u0442\u0435\u0432\u043e\u0433\u043e \u0442\u0440\u0430\u0444\u0438\u043a\u0430 \u0443\u0432\u0435\u043b\u0438\u0447\u0438\u0432\u0430\u0435\u0442\u0441\u044f \u043f\u0440\u0438\u043c\u0435\u0440\u043d\u043e \u043d\u0430 50% \u043a\u0430\u0436\u0434\u044b\u0439 \u0433\u043e\u0434. \u042d\u0442\u043e \u043f\u0440\u0438\u0432\u043e\u0434\u0438\u0442 \u043a \u0440\u043e\u0441\u0442\u0443 \u043d\u0430\u0433\u0440\u0443\u0437\u043a\u0438 \u043d\u0430 \u043e\u0431\u043e\u0440\u0443\u0434\u043e\u0432\u0430\u043d\u0438\u0435 \u0438, \u0432 \u0447\u0430\u0441\u0442\u043d\u043e\u0441\u0442\u0438, \u043f\u043e\u0432\u044b\u0448\u0430\u0435\u0442 \u0442\u0440\u0435\u0431\u043e\u0432\u0430\u043d\u0438\u044f \u043a \u043f\u0440\u043e\u0438\u0437\u0432\u043e\u0434\u0438\u0442\u0435\u043b\u044c\u043d\u043e\u0441\u0442\u0438 IDS\/IPS.","og:url":"https:\/\/prohoster.info\/sl\/blog\/administrirovanie\/snort-ili-suricata-chast-2-ustanovka-i-pervichnaya-nastrojka-suricata","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2020-06-20T23:42:12+00:00","article:modified_time":"2020-06-20T23:42:12+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":{"post_id":"85990","title":null,"description":null,"keywords":null,"keyphrases":{"focus":[],"additional":[]},"primary_term":null,"canonical_url":null,"og_title":null,"og_description":null,"og_object_type":"default","og_image_type":"default","og_image_url":null,"og_image_width":null,"og_image_height":null,"og_image_custom_url":null,"og_image_custom_fields":null,"og_video":null,"og_custom_url":null,"og_article_section":null,"og_article_tags":null,"twitter_use_og":false,"twitter_card":"default","twitter_image_type":"default","twitter_image_url":null,"twitter_image_custom_url":null,"twitter_image_custom_fields":null,"twitter_title":null,"twitter_description":null,"schema":{"blockGraphs":[],"customGraphs":[],"default":{"data":{"Article":[],"Course":[],"Dataset":[],"FAQPage":[],"Movie":[],"Person":[],"Product":[],"ProductReview":[],"Car":[],"Recipe":[],"Service":[],"SoftwareApplication":[],"WebPage":[]},"graphName":"","isEnabled":true},"graphs":[]},"schema_type":null,"schema_type_options":null,"pillar_content":false,"robots_default":true,"robots_noindex":false,"robots_noarchive":false,"robots_nosnippet":false,"robots_nofollow":false,"robots_noimageindex":false,"robots_noodp":false,"robots_notranslate":false,"robots_max_snippet":null,"robots_max_videopreview":null,"robots_max_imagepreview":"large","priority":null,"frequency":null,"local_seo":null,"seo_analyzer_scan_date":null,"breadcrumb_settings":null,"limit_modified_date":false,"reviewed_by":null,"ai":null,"created":"2021-02-28 14:26:01","updated":"2026-08-11 12:50:15","focus_keyword":null,"additional_keywords":null,"truseo_locale":null},"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/sl\/wp-json\/wp\/v2\/posts\/85990","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/sl\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/sl\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/sl\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/sl\/wp-json\/wp\/v2\/comments?post=85990"}],"version-history":[{"count":0,"href":"https:\/\/prohoster.info\/sl\/wp-json\/wp\/v2\/posts\/85990\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/prohoster.info\/sl\/wp-json\/wp\/v2\/media\/85991"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/sl\/wp-json\/wp\/v2\/media?parent=85990"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/sl\/wp-json\/wp\/v2\/categories?post=85990"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/sl\/wp-json\/wp\/v2\/tags?post=85990"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}