5-Amaliy ish. Tarmoq hujumlarni aniqlash tizimlari

2-rasm: O'rnatish komponentlarini tanlash

3-qadam: Snort o'rnatilishini sinab ko'rish
O'rnatish jarayonini tugatgandan so'ng, Snort sinovdan o'tkazilishi kerak. Odatiy bo'lib, Snort bajariladigan faylga ikkita manzil aytilishi kerak: jurnallarni qayerda yozish va konfiguratsiya faylini (snort.conf) qaerdan topish kerak. Ushbu ma'lumot foydalanuvchi tomonidan Snort-ni buyruq satridan mos ravishda -l va -c kalitlari yordamida ishga tushirganda taqdim etiladi. Masalan, buyruq
Snort -l F:snortlog -c F:snortetcsnort.conf -A konsol
dasturga jurnallar F:snortlog katalogiga yozilishi kerakligini va snort.conf F:snortetc katalogida joylashganligini aytadi. -A kaliti dastur tomonidan yaratilgan ogohlantirishlarni qanday yuborishni belgilaydi. Ushbu misolda administrator Snort to'g'ri ishlayotganligini tekshirishi uchun konsol ekranida ogohlantirishlar ko'rsatiladi. E'tibor bering, maqolada buyruq bir nechta satrlarda chop etilgan, ammo buyruqlar oynasida u bitta satrda yozilishi kerak. Xuddi shu narsa ushbu maqoladagi boshqa ko'p qatorli buyruqlar uchun ham amal qiladi. Snort-ning ko'pgina buyruq qatori opsiyalari katta-kichik harflarga sezgir, shuning uchun siz buyruqlarni aynan ular qanday yozilgan bo'lsa, shunday kiritishingiz kerak.
Agar tizimda bir nechta tarmoq interfeyslari mavjud bo'lsa, sukut bo'yicha Snort topilgan birinchi interfeysni tinglaydi. Mashinada tarmoq interfeyslarining tartibi noma'lum bo'lsa, Snort buyrug'ini bitta -W kaliti bilan ishlatishingiz mumkin. Snort tarmoq interfeyslarining nomlari va raqamlarini dastur ularni aniqlagan tartibda sanab beradi. Snort-ni ma'lum bir tarmoq interfeysidan foydalanishga majbur qilish uchun Snort-ni ishga tushirishda interfeys raqami bilan -i kalitini kiritishingiz kerak. Snort-ni bajarganingizdan so'ng, ekranda ko'rsatilganiga o'xshash ma'lumotlar paydo bo'ladi ekran 3 .
Snort-ni ishga tushirish orqali siz NIDS-ga maxsus tayyorlangan trafikni yuborish orqali uning sezgirligini tekshirishingiz mumkin. Ogohlantirishni ishga tushirishning eng oson usullaridan biri HTTP URL so'rovining bir qismi sifatida masofaviy kompyuterdagi qobiqga (cmd.exe) kirishdir (Kod Red va Nimda qurtlarining odatiy hiylasi). Hujumning ushbu bosqichini simulyatsiya qilish uchun siz istalgan URL manziliga o'tishingiz va so'rovning oxiriga /cmd.exe qo'shishingiz mumkin. Misol uchun, http://www.a-website-that-I-can-trust.com/cmd.exe ga qo'ng'iroqqa javoban, Snort buyruqlar oynasida birinchi uchta ogohlantirishga o'xshash ogohlantirishni ko'rsatishi kerak. ekran 4. Bu xabarlar F:snortlogga yoziladi.
Sinov uchun mo'ljallangan veb-saytlarni ehtiyotkorlik bilan tanlash kerak. Texnik nuqtai nazardan, ko'pchilik veb-sayt ma'murlari bunday harakatlarni xakerlik urinishi deb hisoblashadi. Bunday urinish muvaffaqiyatli bo'lmaydi (agar server konfiguratsiyasida jiddiy xatolarga yo'l qo'yilmasa), men faqat o'z serveringiz yoki administratorlari sinovdan xabardor bo'lgan ishonchli server bilan sinovdan o'tishni tavsiya qilaman.
Agar sinovdan o'tkazishning iloji bo'lmasa, Snortni sinab ko'rishning yana bir usuli tarmoq orqali Snort ishlaydigan server yoki kompyuterga noodatiy uzun aks sado so'rovini yuborishdir. Masalan, Ping buyrug'idan foydalanishingiz mumkin
Ping -l 32767 ip_manzil
bu erda ip_address maqsadli server yoki Snort mashinasining IP manzili. Ushbu buyruq juda uzun paketni yuborishi kerak (aniq uzunligi 32 KB), bu Ping buyrug'i uchun odatiy emas. Pastki sakkizta ogohlantirishda ko'rsatilganidek, Snort ushbu paketni aniqlashi kerak ekran 4 .
Agar ogohlantirishlar olinsa, siz Snort-ni muayyan shartlar uchun sozlashni davom ettirishingiz mumkin. Aks holda, o'rnatish jarayoniga qaytishingiz va biron bir qadam o'tkazib yuborilganligini tekshirishingiz kerak.
4-qadam: Snort-ni o'rnating
Snort uchun asosiy konfiguratsiya ma'lumotlari sukut bo'yicha %systemdrive%snortetc katalogida joylashgan snort.conf faylida saqlanadi. Fayl ushbu papkada qoldirilishi yoki buyruq satrida dasturga yo'lni ko'rsatib, boshqasiga o'tkazilishi mumkin.
Snort.conf-da taqdim etilgan barcha variantlarning batafsil tavsifi jurnalning butun sonini to'ldirishi mumkin, chunki Snort hayratlanarli darajada kuchli dasturdir. Hozircha biz faqat uning asosiy parametrlarini ko'rib chiqamiz.
Kiruvchi va chiquvchi trafikni farqlash uchun Snort-ga korporativ tarmog'ingizning xostlari va IP manzillarini aytishingiz kerak. Ushbu ma'lumotni kiritish uchun HOME_NET o'zgaruvchisi snort.conf faylida o'rnatilishi kerak. Siz chiziqni topishingiz kerak
VarHOME_NET har qanday
va uni bir qator IP manzillar bilan almashtiring. Siz, masalan, bitta diapazonni o'rnatishingiz mumkin
VarHOME_NET 192.168.0.1/24
yoki bir nechta diapazon. Bir nechta diapazonlarni belgilashda diapazonlar to'plamini kvadrat qavs ichiga olish va har bir diapazonni vergul bilan ajratish kerak. Siz IP manzillari oralig'iga bo'sh joy kirita olmaysiz. Masalan, chiziq
VarHOME_NET
Snortga 10.0.1.0/24, 10.0.2.0/24 va 10.0.3.0/24 sub tarmoqlari korporativ tarmoqqa tegishli ekanligini aytadi. Odatiy bo'lib, Snort boshqa barcha manzillarni tashqi deb hisoblaydi. EXTERNAL_NET o'zgaruvchisini o'rnatish orqali qaysi tarmoqlar tashqi hisoblanishi kerakligini aniq belgilashingiz mumkin. Snort.config faylida siz chiziqni topishingiz kerak
Var EXTERNAL_NET har qanday
va uni tashqi hisoblanishi kerak bo'lgan tarmoqning IP manzili bilan almashtiring. Biroq, odatda, boshlash uchun EXTERNAL_NET o'zgaruvchisini istalganiga qo'yish yaxshidir.
Biroz vaqt sarflaganingizdan so'ng, siz korxonada mavjud bo'lgan server turlarini va ularning joylashuvini belgilashingiz mumkin. Ushbu ma'lumotlar DNS_SERVERS, SMTP_SERVERS, HTTP_SERVERS, SQL_SERVERS va TELNET_SERVERS o'zgaruvchilarida snort.conf faylining quyidagi qatorlarida joylashgan:
DNS_SERVERS $HOME_NET va SMTP_SERVERS $HOME_NET va HTTP_SERVERS $HOME_NET, SQL_SERVERS $HOME_NET, TELNET_SERVERS $HOME_NET, SNMP_SERVERS $HOME_NET
Odatiy bo'lib, barcha oltita server o'zgaruvchilari $HOME_NET ga o'rnatiladi; bu Snort HOME_NET diapazonidagi barcha tizimlarga hujumlarning barcha turlarini nazorat qilishini anglatadi. Ushbu konfiguratsiya ma'murlar noto'g'ri ogohlantirishlarga toqat qiladigan kichik tarmoq uchun juda mos keladi. Ammo og'ir trafikni kuzatish uchun Snort-ni muayyan tugunlar uchun imzolarning faqat bir qismini tekshirish uchun nozik sozlash tavsiya etiladi. Faqat Microsoft IIS tizimida ishlaydigan veb-serverni SQL buferining to'lib-toshgan hujumlaridan himoya qilish mantiqiy emas. Xostlarning ma'lum sinfini aniqlash uchun $HOME_NET o'zgaruvchisi uchun ishlatiladigan formatga muvofiq maqsadli serverlarning IP-manzil diapazoni bilan almashtirishingiz kerak. Masalan, DNS_SERVERS o'zgaruvchisi uchun $HOME_NET ni bir qator DNS server IP manzillari bilan almashtiring.
Muayyan ilovalar uchun serverlar tomonidan ishlatiladigan portlarni aniqlash orqali sozlashning aniqligini oshirishingiz mumkin. Misol uchun, agar veb-serverlar HTTP trafigi uchun 80-port o'rniga (bu odatda veb-serverlar va brauzerlar uchun ishlatiladigan port) maxsus 8080 portidan foydalansa, HTTP_PORTS o'zgaruvchisini o'zgartirib, Snort-ni 8080-portda tinglash uchun sozlashingiz mumkin. Snort.conf-da siz chiziqni topishingiz kerak
VarHTTP_PORTS 80
va uni chiziq bilan almashtiring
Variant HTTP_PORTS 8080
Xuddi shunday, siz Oracle (ORACLE_PORTS o'zgaruvchisi bilan belgilanadi) va boshqa ilovalar uchun portlarni o'zgartirishingiz mumkin. HTTP_PORTS o'zgaruvchisi kabi, ORACLE_PORTS standarti 80 ga teng. Agar server o'rniga 1521 portdan foydalansa, qator o'xshash bo'ladi.
Var ORACLE_PORTS 1521
Shunday qilib, snort.conf faylida ko'plab variantlarni sozlash mumkin. Siz snort.conf orqali o'tishingiz, atrof-muhitingiz uchun eng muhim bo'lgan sozlamalarni topishingiz va ularni mos ravishda sozlashingiz kerak.
5-bosqich. Qoidalarni belgilash
snort.conf dagi qatorlardan birida RULE_PATH o'zgaruvchisi mavjud. Ushbu qatorga misol:
Var RULE_PATH ../regles
../rules opsiyasi qoidalarni (ya'ni, imzolarni) katalog strukturasidagi Snort ikkiliklari bilan bir xil darajada bo'lgan qoidalar katalogida topish mumkinligini bildiradi. Masalan, agar siz Snort-ni odatiy F:snort papkasiga o'rnatsangiz, Snort ikkilik fayllari F:snortin-da, qoidalar esa F:snort ules-da. Agar xohlasangiz, RULE_PATH oʻzgaruvchisini oʻzgartirishingiz mumkin, lekin standart variant ham qabul qilinadi.
Qoidalar Snortning asosidir. Ular bayt ketma-ketligi, hujum imzolari va aniqlanganda ogohlantirish hosil qiluvchi boshqa turdagi ma'lumotlardir. Snort-da 1500 dan ortiq oldindan tuzilgan imzolar mavjud.
Qoida nimaga o'xshaydi? Snort testi davomida buzilgan cmd.exe qoidasi: alert tcp $EXTERNAL_NET any -> $HTTP_SERVERS $HTTP_PORTS (msg:"WEB-IIS cmd.exe access"; flow:to_server, o'rnatilgan; kontent: "cmd. exe"; nocase; sinf turi: veb-ilova-hujum; sid: 1002; rev: 5;). Qoidaning asosiy tarkibiy qismlarini ko'rib chiqing. $EXTERNAL_NET any -> $HTTP_SERVERS $HTTP_PORTS havolasi faqat tarmoqqa tashqaridan kiruvchi trafikni (EXTERNAL_NET oʻzgaruvchisi tomonidan belgilangan) tahlil qilish kerakligini bildiradi. Tarkib: parametri ma'lumotlar oqimidagi cmd.exe belgilar ketma-ketligini qidirishni belgilaydi. Bunday ketma-ketlikka duch kelganda, Snort msg: parametri tomonidan berilgan ogohlantirishni hosil qiladi.
Cmd.exe misolida ko'rinib turganidek, qoidalar asosan oddiy. Har qanday turdagi trafik uchun o'z qoidalaringizni yaratishingiz mumkin. Misol uchun, agar siz qobiq orqali mashinadagi katalogga masofadan kirishga ruxsatsiz urinishlarni aniqlamoqchi bo'lsangiz, diskdagi satr hajmini yoki ular kam uchraydigan portlarda, masalan, chiqish portlarida tovush seriya raqamini qidirishingiz mumkin. Qoidalarni tayinlashda moslashuvchan yondashuv tufayli ma'murlarga Snort uchun keng ko'lamli konfiguratsiya opsiyalari taqdim etiladi.
1500 Snort qoidalari tahlil qilinayotgan ma'lumotlar turlariga ko'ra turli fayllarda saqlanadi. Masalan, cmd.exe qoidasi web-iis.rules faylida. Agar korxona IIS dan foydalanmasa, u holda dastur IIS hujumlarini aniqlashi shart emas. Web-iis.rules fayli satrni izoh sifatida topish va belgilash orqali butun konfiguratsiyadan osongina olib tashlanishi mumkin.
$RULE_PATH/web-iis.rules kiriting
snort.conf faylida. Satrni sharhlash uchun uning oldiga (#) belgi qo'ying:
# ichiga $RULE_PATH/web-iis.rules kiradi
Odatiy bo'lib, ba'zi turdagi qoidalar fayllari (masalan, icmp-info.rules, chat.rules) snort.conf da sharhlar bilan ifodalanadi. Snort.conf-dagi standart qoidalar konfiguratsiyasi juda yaxshi. Bloklangan qoidalarni faollashtirgandan so'ng, dastur, qoida tariqasida, juda ko'p keraksiz ogohlantirishlarni yaratadi.
Ba'zi fayllar bir qator foydali qoidalarni o'z ichiga oladi, lekin bir nechta qoidalar juda ko'p keraksiz ogohlantirishlarni keltirib chiqaradi. Muayyan qoidani o'chirish uchun siz qoidalar faylidagi tegishli qatorni sharh sifatida belgilashingiz kerak. Kelajakda Snort fayl bilan ishlashda ushbu qoidani e'tiborsiz qoldiradi.
Yangi tahdid manbalari paydo bo'lganda, qoidalar fayli yangilanishi kerak. Yangi qoidalar uchun eng yaxshi manba Snort.org veb-saytidir. Ushbu veb-saytda avtomatik yangilash xizmati mavjud emas, shuning uchun keyingi xavf tug'ilganda administrator yangilanishlar uchun muntazam ravishda unga murojaat qilishi kerak bo'ladi.
6-qadam: Ogohlantirishlar va jurnallarni o'rnating
Yuqorida aytib o'tilganidek, Snort MySQL, SQL Server, Oracle va ODBC-mos keladigan ma'lumotlar bazalarida ma'lumotlarni yozib olishni ta'minlaydi. Siz qilishingiz kerak bo'lgan yagona narsa Snort o'rnatish jarayonida tegishli ma'lumotlar bazasi turini tanlashdir. Maqolaning hajmini haddan tashqari oshirmaslik uchun biz matnli fayldan foydalangan holda standart ro'yxatga olish rejimlarini va Windows voqealar jurnaliga xabar yozish funktsiyasini ko'rib chiqamiz.
Snort buyrug'i bilan NIDSni ishga tushirganingizda, -A konsoli tugmasi ekranda ogohlantirishlarni ko'rsatishga olib keladi. Xabarlarni matnli faylga yo‘naltirish uchun ushbu o‘tishni afzal ko‘rgan jurnalga yozish rejimiga qarab -A tez yoki -A to‘liq ga o‘zgartiring. To'liq parametr katalogdagi alerts.ids deb nomlangan matn faylining bir necha qatorlarida tahdidning batafsil tavsifini aks ettiradi, unga boradigan yo'l -l kaliti bilan belgilanadi. Ro'yxatga olishning bunday turi to'liq ma'lumot beradi, ammo tarmoqda ko'plab voqealar bo'lsa, ularni tushunish qiyin. Bunday "shovqinli" tarmoqlarda shubhali trafikning asosiy xususiyatlarini o'z ichiga olgan alerts.ids-ga bir qatorli yozuvlarni kiritish uchun tezkor rejimdan foydalanish tavsiya etiladi. Menimcha, tezkor rejimda matnli fayl bilan ishlash to'liq rejimga qaraganda osonroq.
Snortning joriy versiyasi Windows voqealar jurnaliga kirishni ta'minlaydi. Ko'pgina tashkilotlar allaqachon markazlashtirilgan hodisalar monitoringi, jurnallar va ma'lumotlarni yig'ish vositalarini sotib olgan va bu xususiyat Windows muhitiga ajoyib qo'shimcha bo'ladi.
Snort ishlaydigan tizimning Ilova hodisalari jurnaliga ogohlantirishlarni yozish uchun -A opsiyasi o'rniga -E variantidan foydalaning (parametrlar ixtiyoriy). 5-rasmda Snort hodisasi (bu holda cmd.exe-ga kirishga urinish) Ilovalar jurnalida qanday ko'rinishi ko'rsatilgan. Windows hodisasi konsol ekrani kabi batafsil ma'lumotlarni taqdim etadi.
Agar administrator haftada bir marta voqealar jurnallariga (yoki matn jurnallariga) qarasa, NIDS foydasiz. Agar tarmoqda biror narsa sodir bo'lsa, administrator bu haqda darhol bilishi kerak. Markazlashtirilgan monitoring va hodisalarni qayta ishlash tizimi xabarlarni elektron pochta, peyjer va boshqa aloqa qurilmalariga yuborishi mumkin. Ammo bunday tizim bo'lmasa, bu tashvishga sabab emas. NETIKUS.NET ogohlantirishlarni yuborish uchun ishlatilishi mumkin bo'lgan bepul EventSentry Light paketini taklif qiladi.
EventSentry Light - bu EventSentry-ning baholash versiyasi va uni yuklab olish mumkin http://www.netikus.net/products_downloads.html. EventSentry Light yordamida siz tizimingizni voqealar jurnallarini kuzatish va avtomatik ravishda qayd etilgan Snort hodisalari haqida batafsil elektron pochta xabarlarini yuborish uchun sozlashingiz mumkin. Ustida ekran 6 cmd.exe hujumiga urinishlar haqida pochta xabarini ko'rsatadi. Men ushbu xabarni EventSentry Lightdan hujumdan bir necha soniya o'tgach oldim.
Yuqorida aytib o'tilganidek, Snort odatda voqealar jurnallarini tezda to'ldiradigan juda ko'p keraksiz xabarlarni ishlab chiqaradi. Voqealar jurnallari uchun fayl o'lchamlarini va ularni qanday aylantirishni tanlashda buni yodda tuting. EventSentry Light pochta qutingizni kichik voqealar haqidagi xabarlar bilan to'ldirishiga yo'l qo'ymaslik uchun kalit satrlarni qidirish uchun filtr yaratishingiz mumkin. Misol uchun, men xabar matnida qator qidiruv filtrini tashkil qildim.
7-qadam: Xizmat sifatida ishga tushirish
Barcha tayyorgarliklar tugallangandan so'ng, dasturni har safar ishga tushirishni xohlaganingizda ish stolingizga kirish o'rniga Snort-dan xizmat sifatida foydalanishingiz mumkin. Agar siz Snort-ni /XIZMAT va /INSTALL opsiyalari bilan (boshqa buyruq qatori opsiyalari bilan birga) boshlasangiz, Snort Windows xizmati sifatida ishga sozlanadi va foydalanuvchi aralashuvisiz avtomatik ravishda Windows bilan boshlanadi.
Keyingi daraja: kengaytirish modullari
Snort - bu to'liq funktsional dastur. Biroq, ba'zi hollarda, dasturni kengaytirish kerak. Masalan, agar tarmoqning turli qismlarida bir nechta NIDS o'rnatilgan bo'lsa, Snort-ni grafik interfeysdan boshqarish qulay. Bunday imkoniyatlar Engage Security-dan IDScenter plaginlarida va Activeworx-dan IDS siyosati menejerida amalga oshiriladi. Ba'zan xabarlardagi ma'lumotlarni tahlil qilish kerak bo'ladi. Siz Karnegi Mellon universitetida ishlab chiqilgan Intrusion ma'lumotlar bazalarini tahlil qilish konsoli (ACID) moduli yordamida saqlangan ma'lumotlarni ko'rishingiz va tahlil qilishingiz mumkin.
Ishonchli himoya
Snort - bu kompaniya byudjetiga zarar keltirmaydigan to'liq xususiyatli dastur. Snort-ni EventSentry Light kabi kuchli hodisalar monitoringi ilovasi bilan birlashtirib, tarmoqqa hujumlarni o'z vaqtida oldini olish mumkin.
Dummies uchun hujumni aniqlash tizimi. SNORT-ni o'rnatish va sozlash.
Aleksandr Antipov

Snort - bu hujumni aniqlashning engil tizimi. Snort odatda "engil" NIDS deb ataladi, chunki u birinchi navbatda kichik tarmoqlar uchun mo'ljallangan. Dastur protokol tahlilini amalga oshirishi mumkin va turli xil hujumlarni aniqlash va bufer toshib ketish, yashirin portlarni qidirish, CGI hujumlari, OTni aniqlash urinishlari va boshqalar kabi muammolarni tekshirish uchun ishlatilishi mumkin. Snort qaysi trafikni o'tkazishni va qaysi birini kechiktirishni bilish uchun "qoidalar" dan ("qoidalar" fayllarida ko'rsatilgan) foydalanadi. Asbob moslashuvchan bo'lib, sizga yangi qoidalarni yozish va ularga rioya qilish imkonini beradi. Dastur shuningdek, modulli plagin arxitekturasidan foydalanadigan "kashfiyot mexanizmi"ga ega bo'lib, u orqali ma'lum dastur qo'shimchalarini "kashfiyot mexanizmi" ga qo'shish yoki olib tashlash mumkin.

Snort uchta rejimda ishlashi mumkin:
1. tcpdump kabi paketli sniffer sifatida
2. Paket registratori sifatida
3. Bosqinlarni aniqlash tizimi qanchalik rivojlangan
Ushbu maqolada biz Snort o'rnatilishi, uning arxitekturasi haqida batafsil gaplashamiz va qoidalarni qanday yaratish va boshqarishni o'rganamiz.