5-Amaliy ish. Tarmoq hujumlarni aniqlash tizimlari

IDS Snort-ni o'rnatish va sozlash
Snort: Windows XP da o'rnatish
Snort-ni Windows operatsion tizimiga o'rnatishda ba'zi qiyinchiliklar paydo bo'lishi mumkin. Shuning uchun, bu ish o'rnatish va konfiguratsiya opsiyalarining juda batafsil qismiga bag'ishlangan. Avval siz kerakli dasturlarni ishlaydigan kompyuteringizga yuklab olishingiz kerak.
Snort uchun qoidalar.
Yuqorida aytilganlarning barchasi ushbu ilovalarning rasmiy veb-saytlaridan yuklab olingan.
Winpcap - yadro darajasida paketlarni ushlaydigan va filtrlaydigan dastur. U o'rnatilgan Unix drayveri libpcapga o'xshaydi. O'rnatish hech qanday noqulaylik tug'dirmaydi, u oddiy o'rnatuvchi orqali ishga tushiriladi. Shundan so'ng, siz IDS-ni rasmiy veb-saytdan yuklab olishingiz kerak, shundan so'ng biz u erdan qoidalar bilan yangi arxivni yuklab olamiz. Keyingi qadam, arxivda bo'lgan barcha papkalarni qoidalar bilan ilovaning ildiz katalogiga to'liq nusxalash va kerak bo'lganda tarkibni to'liq almashtirishdir. Keyin dasturning to'g'ri ishlashi uchun konfiguratsiya faylida muhim o'zgarishlar qilish kerak bo'ladi.
var RULE_PATH c:snort ules
var SO_RULE_PATH c:snortso_rules
var PREPROC_RULE_PATH c:snortpreproc_rules
dynamicpreprocessor katalogi c:snortlibsnort_dynamicpreprocessor
dynamicengine c:snortlibsnort_dynamicenginesf_engine.dll
#dynamicdetection katalogi /usr/local/lib/snort_dynamicrules
Biz konfiguratsiya faylida shunga o'xshash qatorlarni topamiz va ularni yuqorida keltirilganlar bilan almashtiramiz. Shundan so'ng biz dasturni sinab ko'rishga harakat qilamiz. Biz buyruq satrini boshlaymiz va "bin" bo'limidagi dastur katalogiga o'tamiz. "Snort -W" buyrug'ini kiriting
Guruch. 1.1.
Ushbu buyruq yordamida biz interfeyslarimizni ko'rish uchun dasturning sog'lig'ini tekshiramiz. Ulardan bir nechtasi borligiga ishonch hosil qilganimizdan so'ng, paketlarni ushlab qolish va IDS ishlashini kuzatishni boshlash uchun ishchi tarmoqqa ulanganini tanlaymiz.
C:Snortinsnort -i 3 -c C:snortetcsnort.conf -l C:snortlog -A konsol
Endi biz kiritgan buyruqni tahlil qilaylik. "-i 3" interfeyslar ro'yxatida ID= 3 bo'lgan interfeysni ko'rib chiqamiz degan ma'noni anglatadi. Keyin biz konfiguratsiya fayliga yo'lni va qo'lga kiritilgan paketlarning "jurnalini" yozish kerak bo'lgan katalogga yo'lni aniqladik. "-A konsol" signal paketlari konsolimizda aniqlanishini anglatadi. Qayta ishlash jarayonida biron bir muammo yuzaga kelsa, biz ularni aniqlash jarayonida yo'q qilamiz. Snort satr va qurilish xatosining turini belgilaydi. Agar hamma narsa ishlagan bo'lsa, unda ishlaydigan qoidalardan biri ishlamaguncha biz hech narsani ko'rmaymiz. Ulardan birini ishlatish uchun, keling, tarmoq hujumini simulyatsiya qilishga va mahalliy tarmog'imiz orqali shubhali paketni ishga tushirishga harakat qilaylik. Buni amalga oshirish uchun, masalan, buyruq satrini oching va quyidagilarni kiriting: "Ping 192.168.1.16". Snort 192.168.1.1624-da xostni tinglashga urinishni to'xtatadi va shubhali tarmoq faoliyati haqida xabar va ma'lumotni chop etadi. Afsuski, bunday IDS tizimlari kuchli kamchiliklarga ega - bu noto'g'ri musbatlar. Shu munosabat bilan, Snort foydali bo'lishi va chalg'itmasligi uchun qoidalarni aniq va aniq belgilash va ushbu noto'g'ri ijobiy holatlarning oldini olish uchun ko'riladigan tarmoqlarni chegaralash kerak.


Guruch. 1.2.
Endi bizning IDS ishlayotgan konsolda "tinglash" ga o'xshash shubhali paket haqida xabarlar bo'ladi. Ushbu qoida Snortning to'liq ishlayotganligini ko'rsatdi. Uning ishlash rejimlarini va keyingi ish uchun qoidalar sintaksisini ko'rib chiqing.
1. IDS nima.
Bugungi kunda xakerlar tavsifi, shuningdek, bir xil mavzudagi maqolalar, ekspluatatsiyalar, dasturlar mavjud bo'lgan ko'plab saytlar mavjud bo'lganda, serverlarni buzishga urinishlar tez-tez uchrab turadi. Oxir oqibat, o'zini xaker deb hisoblaydigan har qanday foydalanuvchi sizga yangi yuklangan ekspluatatsiyani sinab ko'rishi va serveringiz ustidan nazoratni qo'lga kiritishi mumkin. Bu unchalik oson emas, lekin baribir...
Hujumlar haqida bilish yoki shunchaki serverda sodir bo'layotgan voqealardan xabardor bo'lish uchun ko'plab administratorlar har kuni jurnallarni ko'zdan kechiradilar. Ammo, masalan, Apache veb-serverining log fayli kuniga 10 Mb ga oshganida, siz server xavfsizligini kuzatish jarayonini avtomatlashtirishingiz kerak. Yechimlardan biri IDS - buzg'unchilikni aniqlash tizimlari bo'lib, so'nggi bir necha yil ichida samaradorligi oshgan va hozirda har qanday tarmoq himoyasining ajralmas qismi hisoblanadi.
IDS (Intrusion Detection System) ning ko'p turlaridan ikkitasini ajratib ko'rsatish mumkin: protokol tahliliga asoslangan(standartlarga mos kelmaydigan paketlarni aniqlash) va imzo tahliliga asoslangan(paketlarda hujum imzosi qidiriladi - bu paket zararli trafikka tegishli ekanligini ko'rsatuvchi qator (namuna). Bunday IDS NIDS (Network Intrusion Detection System) deb ataladi. Umuman olganda, NIDS ning ishlash printsipini quyidagicha ta'riflash mumkin. : barcha trafik zararli ma'lumotlarni o'z ichiga olgan paketlar mavjudligi uchun tahlil qilinadi va agar bunday paket topilsa, u holda turli xil signalizatsiya harakatlari amalga oshiriladi (konsolda xabar ko'rsatiladi, xat yuboriladi, jurnalga yoziladi, Winpopup xabari yuborilgan va h.k.) IDS ning ikkala turi ham o‘zining afzalliklari va kamchiliklariga ega, masalan, paketni tahlil qilish uchun mavjud shaklga aylantirish hisobiga protokol tahlili sekinroq. standartlar roʻyxatga olingan. Imzo tahliliga asoslangan IDS tezroq va bundan tashqari ularni sozlash va yangilash ham oson (men yangi zaiflikni koʻrdim, uni bazaga qoʻshdim va sizning IDSingiz uni topadi.) Lekin IDS dan foydalangan maʼqulroq. tahlil qilishning ikkita usuli, uh bu sizga haqiqatan ham ajoyib natijalar beradi.