Dikur, për të mbrojtur rrjetin lokal mjaftonte një firewall i zakonshëm dhe programet antivirus, por përballë sulmeve të hakerëve modernë dhe shpërthimit të malware, ky grup tashmë nuk është mjaft efektiv. Firewall-i i vjetër analizon vetëm titujt e paketeve, duke kaluar ose bllokuar ato sipas një grupi rregullash formale. Ai nuk di asgjë për përmbajtjen e paketeve dhe, për këtë arsye, nuk mund të njohë veprimet e dukshme legjitime të sulmuesve. Programet antivirus nuk e kapin gjithmonë malware-n, prandaj para administratorit qëndron detyra e ndjekjes së aktiviteteve anormale dhe izolimit të hershëm të hosteve të infektuar.
Ekzistojnë shumë mjete të avancuara që lejojnë mbrojtjen e infrastrukturës IT të kompanisë. Sot do të flasim për sistemet e zbulimit dhe parandalimit të shpërthimeve me burim të hapur, të cilat mund të implementohen pa blerjen e pajisjeve të shtrenjta dhe licencave softuerike.
Klasifikimi i IDS/IPS
IDS (Sistemi i Zbulimit të Sulmeve) — është një sistem i destinuar për regjistrimin e veprimeve të dyshimta në rrjet ose në një kompjuter të veçantë. Ai mban regjistra ngjarjesh dhe njofton personin përgjegjës për sigurinë e informacionit. Në përbërje të IDS mund të veçohen elemente të ndryshme:
- sensorë për monitorimin e trafikut të rrjetit, regjistrat e ndryshëm etj.
- nën-sistemi i analizës, që identifikon në të dhënat e marra shenja të ndikimit të dëmshëm;
- depo për grumbullimin e ngjarjeve fillestare dhe rezultateve të analizës;
- konsola e menaxhimit.
Fillimisht, IDS u klasifikuan sipas vendndodhjes: ato mund të ishin të orientuara për të mbrojtur node të veçanta (host-based ose Host Intrusion Detection System - HIDS) ose mbrojtjen e tërë rrjetit korporativ (network-based ose Network Intrusion Detection System - NIDS). Një përmendje e tillë është e njohur si APIDS (Application protocol-based IDS): ato ndjekin një grup të kufizuar protokollesh të nivelit aplikativ për të identifikuar sulme specifike dhe nuk merret me analizën e thellë të paketeve të rrjetit. Këto produkte zakonisht i ngjajnë proxy dhe përdoren për të mbrojtur shërbime të veçanta: serverë uebi dhe aplikacione ueb (për shembull, të shkruara në PHP), serverë bazash të dhënash etj. Një përfaqësues tipik i kësaj klase është mod_security për serverin e uebit Apache.
Ne na interesojnë sistemet NIDS universale që mbështesin një gamë të gjerë protokollesh komunikimi dhe teknologjinë e analizës së thellë të pakove, DPI (Deep Packet Inspection). Ato monitorojnë të gjithë trafikun që kalon, duke filluar nga niveli i kanalit, dhe zbulojnë një gamë të gjerë sulmesh rrjetesh, si dhe përpjekjeve për qasje të paautorizuar në informacion. Shpesh këto sisteme karakterizohen nga një arkitekturë të shpërndarë dhe mund të bashkëpunojnë me pajisje të ndryshme rrjetesh aktive. Vlen të theksohet se shumë nga NIDS moderne janë hibrid dhe kombinojnë disa qasje. Në varësi të konfigurimit dhe cilësimeve, ato mund të zgjidhin detyra të ndryshme — për shembull, mbrojtjen e një nyje të vetme ose tërë rrjetit. Për më tepër, funksionet e IDS për stacionet e punës i kanë kaluar paketat antivirus, të cilat për shkak të përhapjes së Trojanëve që kanë si qëllim vjedhjen e informacionit, janë shndërruar në bllokues multifunksionalë që trajtojnë gjithashtu detyra për njohjen dhe bllokimin e trafikëve të dyshimta.
Fillimi me IDS ishte se ato mund të zbulojnë veprimet e softuerëve të dëmshëm, funksionimin e skanerëve të porteve, ose, për shembull, shkeljet nga përdoruesit e politikave korporative të sigurisë. Kur ndodhte një ngjarje e caktuar, ato njoftonin administratorin, por mjaft shpejt u bë e qartë se thjesht njohja e një sulmi nuk ishte e mjaftueshme — duhej ta bllokonin atë. Kështu IDS u transformuan në IPS (Sistemet e Parandalimit të Shkeljeve) — sisteme që parandalojnë sulmet dhe janë në gjendje të bashkëpunojnë me murin e zjarrit.
Metodat e zbuluar
Zgjidhjet moderne për zbuluar dhe parandaluar shkeljet përdorin metoda të ndryshme për të përcaktuar aktivitetet e dëmshme, të cilat mund të ndahen në tri kategori. Kjo na ofron një mundësi tjetër për klasifikimin e sistemeve:
- IDS/IPS bazuar në nënshkronime identifikojnë në trafik disa modele ose ndjekin ndryshimet në gjendjen e sistemeve për të përcaktuar një sulm në rrjet ose një përpjekje infektimi. Ato pr almost never have false positives, but cannot detect unknown threats.
- IDS që zbulojnë anomali nuk përdorin nënshkrime sulmi. Ato njohin sjelljen e ndryshuar nga norma të sistemeve informacioni (përfshirë anomali në trafikun rrugor) dhe mund të identifikojnë madje edhe sulme të panjohura. Këto sisteme japin mjaft shumë sinjale false dhe, nëse përdoren gabimisht, mund të paralizojnë rrjetin lokal.
- IDS të bazuara në rregulla punojnë sipas parimit: nëse FAKTI atëherë VEPRIMI. Në thelb, këto janë sisteme ekspertësh me baza të njohurish — një grumbull faktesh dhe rregullash për nxjerrjen logjike. Këto zgjidhje janë të punshme për t'u konfiguruar dhe kërkojnë nga administratorët një kuptim të detajuar të funksionimit të rrjetit.
Historia e zhvillimit të IDS
Epoka e zhvillimit të shpejtë të Internetit dhe rrjeteve korporative filloi në vitet '90 të shekullit të kaluar, megjithatë specialistët e teknologjive të avancuara të sigurisë rrjetës ishin përfshirë pak më herët. Në vitin 1986, Dorothy Denning dhe Peter Neumann publikuan modelin IDES (Sistemi Ekspert për Zbulimin e Sulmeve), i cili u bë baza e shumicës së sistemeve moderne të zbulimit të sulmeve. Ai përdorte një sistem ekspert për të identifikuar llojet e njohura të sulmeve, si dhe metoda statistike dhe profilet e përdoruesve/sistemeve. IDES ekzekutohej në stacionet e punës Sun, duke kontrolluar trafikun rrjetës dhe të dhënat e aplikacioneve. Në vitin 1993 u lançua NIDES (Sistemi Ekspert për Zbulimin e Sulmeve të Gjeneratës së Re) — një sistem ekspert për zbulimin e sulmeve për brezin e ri.
Në bazë të punimeve të Denning dhe Neumann, në vitin 1988 u krijua sistemi ekspert MIDAS (sistemi i identifikimit dhe alarmimit për intruzione Multics), i cili përdor P-BEST dhe LISP. Në të njëjtin vit u krijua gjithashtu një sistem i bazuar në metoda statistikore, Haystack. Një tjetër detektor statistik i anomalisë, W&S (Wisdom & Sense), u zhvillua një vit më vonë në Laboratorin Kombëtar Los Alamos. Zhvillimi i industrisë po zhvillohej me hapa të shpejtë. Për shembull, në vitin 1990, në sistemin TIM (makina induktive me bazë kohore) u zbatua tashmë identifikimi i anomalisë duke përdorur mësimin induktiv në modelet e vazhdueshme të përdoruesit (gjuha Common LISP). NSM (Monitorimi i Sigurisë së Rrjetit) për identifikimin e anomalisë krahasoi matricat e qasjes, ndërsa ISOA (Asistenti i Oficerit të Sigurisë së Informacionit) mbështeste strategji të ndryshme identifikimi: metoda statistikore, kontrollin e profilit dhe sistemin ekspert. Sistemi ComputerWatch i krijuar në AT&T Bell Labs përdorte për verifikim si metoda statistikore ashtu edhe rregulla, dhe prototipi i parë i IDS të shpërndarë u krijua nga zhvilluesit e Universitetit të Kalifornisë, DIDS (sistemi i identifikimit të intruzioneve të shpërndara) që gjithashtu ishte një sistem ekspert.
Fillimisht, IDS ishin të pronësishëm, por që në vitin 1998, Laboratori Kombëtar Lawrence në Berkeley publikoi Bro (në vitin 2018, ajo u rinovua si Zeek) — një sistem me kod të hapur, që përdor një gjuhë rregullash të vetat për analizimin e të dhënave libpcap. Në nëntor të atij viti, doli një kapës paketash që përdorte libpcap i quajtur APE, i cili u rinovua një muaj më vonë në Snort, dhe më vonë u bë një IDS/IPS i plotë. Atëherë filluan të shfaqen gjithashtu shumë zgjidhje pronësishme.
Snort dhe Suricata
Shumë kompani preferojnë IDS / IPS falas me burim të hapur. Për një kohë të gjatë, zgjidhja standarde konsiderohej Snort, por tani është zëvendësuar nga sistemi Suricata. Le të shqyrtojmë më në detale avantazhet dhe disavantazhet e tyre. Snort kombinon përfitimet e metodës së nënshkrimit me mundësinë e zb зачitjes së anomalisë në kohë reale. Suricata gjithashtu lejon përdorimin e metodave të tjera përveç njohjes së sulmeve nga nënshkrimet. Ky sistem u krijua nga një grup zhvilluesish që u ndan nga projekti Snort dhe mbështet funksionet IPS që nga versioni 1.4, ndërsa në Snort mundësia për të parandaluar ndërhyrjet u shfaq më vonë.
Dallimi kryesor midis dy produkteve të njohura është se Suricata ka mundësinë e përdorimit të GPU për llogaritje në modin IDS, si dhe një IPS më të avancuar. Sistemi është projektuar nga fillimi për shumëprocese, ndërsa Snort është një produkt me një proces. Për shkak të historisë së tij të gjatë dhe kodit të trashëguar, ai nuk e shfrytëzon optimalisht platformën harduerike shumëprocesore/shumëbërthamësh, ndërsa Suricata në kompjuterët e zakonshëm të përdorimit të përgjithshëm lejon trajtimin e trafikut deri në 10 Gbit/sek. Mund të diskutohet gjatë mbi ngjashmëritë dhe dallimet e dy sistemeve, por ndonëse motori Suricata punon më shpejt, për kanalet jo shumë të gjera, kjo nuk ka domethënie thelbësore.
Mundësitë e shpërndarjes
IPS duhet të pozicionohet në mënyrë që sistemi të mund të monitorojë segmentet e rrjetit që ka nën kontroll. Shpesh, ky është një kompjuter i dedikuar, një ndërfaqe e të cilit lidhet pas pajisjeve kufitare dhe "shikon" përmes tyre në rrjetet e pambrojtura publike (Internet). Ndërfaqja tjetër e IPS lidhet në hyrje të segmentit të mbrojtur, në mënyrë që të gjithë trafiku të kalojë përmes sistemit dhe të analizohet. Në raste më të komplikuara, mund të ketë disa segmente të mbrojtura: për shembull, në rrjetet korporative shpesh qëndron një zonë të demilitarizuar (DMZ) me shërbime të aksesueshme nga Interneti.
Një IPS e tillë mund të parandalojë përpjekjet për skanimin e porteve ose thyerjen e sigurisë përmes provimeve të fjalëkalimeve, shfrytëzimin e dobësive në serverët e postës, serverët e uebit ose skriptet, si dhe lloje të tjera sulmesh nga jashtë. Në rast se kompjuterët e rrjetit lokal infektohen me malware, IDS nuk do t'u lejojë atyre të lidhen me serverat e jashtëm të botnet-it. Për një mbrojtje më të fortë të rrjetit të brendshëm, do të kërkohet një konfigurim më kompleks me një sistem të shpërndarë dhe switch-e të menaxhuar që nuk janë të lirë, të cilët mund të pasqyrojnë trafik për lidhen në një nga portet e ndërfaqes IDS.
Sistemat e korporatave shpesh i nënshtrohen sulmeve të shpërndara, të orientuara ndaj refuzimit të shërbimit (DDoS). Edhe pse IDS-të moderne mund të përballen me to, varianti i mësipërm i implementimit këtu do të ketë pak ndihmë. Sistemi e njeh aktivitetin e dëmshëm dhe bllokon trafikun parazitar, por për këtë, paketat duhet të kalojnë përmes lidhjes së jashtme të internetit dhe të arrijnë në ndërfaqen e saj rrjetore. Në varësi të intensitetit të sulmit, kanali i transmetimit të të dhënave mund të mos përballojë ngarkesën dhe qëllimi i sulmuesve do të arrihet. Për këto raste, ne rekomandojmë të implementoni IDS në një server virtual me një lidhje interneti të dëshmuar si më të fuqishme. Lidheni VPS me rrjetin lokal përmes VPN-së dhe më pas duhet të konfiguroni përmes saj ruterizimin e të gjithë trafikut të jashtëm. Atëherë, në rastin e një sulmi DDoS, nuk do të duhet të dërgoni paketat përmes lidhjes me ofruesin, ato do të bllokohen në nyjen e jashtme.
Problemi i zgjedhjes
Të identifikosh liderin mes sistemeve të lira është shumë e vështirë. Zgjedhja e IDS/IPS përcaktohet nga topologjia e rrjetit, funksionalitetet e nevojshme mbrojtjeje, si dhe preferencat personale të administratorit dhe dëshira e tij për të punuar me konfigurimet. Snort ka një histori më të gjatë dhe është më mirë i dokumentuar, ndonëse informacion për Suricata gjithashtu është lehtë të gjejë në rrjet. Në çdo rast, për të mësuar sistemin do të duhet të bësh disa përpjekje, të cilat në fund do të kthehen - pajisjet dhe sistemet IDS/IPS të komerciale janë mjaft të shtrenjta dhe nuk janë gjithmonë brenda buxhetit. Nuk duhet të pendohesh për kohën e harxhuar, sepse një administrator i mirë gjithmonë përmirëson aftësitë e tij përmes punëdhënësit. Në këtë situatë, të gjithë fitojnë. Në artikullin tjetër do të shqyrtojmë disa mundësi për shpërndarjen e Suricata-s dhe do ta krahasojmë në praktikë sistemin më modern me sistemin klasik IDS/IPS Snort.
Burimi: habr.com
