5-Amaliy ish. Tarmoq hujumlarni aniqlash tizimlari

 Snort hujumini aniqlash tizimini o'rnatish 
va sozlash. SNORT o'rnatish. Tarmoqqa 
tajovuzni aniqlash tizimi 
Korporativ tarmoqlar orqali har kuni milliardlab ma'lumotlar paketlari uzatiladi. Ulardan ba'zilari 
xavfli; ushbu paketlarning mualliflari xavfsizlik devorlarini chetlab o'tish va tarmoqlarning 
perimetri mudofaa chiziqlarini kesib o'tish uchun maxsus qadamlar qo'ydi va ular duch kelgan 
har bir tizimni buzdi. Code Red, Nimda, SQL Slammer va MSBlaster kabi paketlangan 
hujumlarning halokatli ta'siri yaxshi ma'lum. Ushbu zararli dasturlarning barchasi o'z maqsadlari 
uchun ishonchli protokollardan (masalan, HTTP) yoki Microsoft tizimlaridan tarmoq trafigidan 
foydalanadi. Bunday protokollarni oddiygina qabul qilish va blokirovka qilish mumkin emas, 
shuning uchun administratorlar odatda tahdidga o'z vaqtida javob berish uchun tarmoq 
bosqinlarini aniqlash tizimi (NIDS) yordamida xavfli trafikni imkon qadar tezroq qo'lga 
kiritishga harakat qilishadi. 
Xususiyatlari va narxi jihatidan farq qiluvchi bir nechta NIDS savdoda mavjud. Umuman 
olganda, ularning barchasi muvaffaqiyatli ishlaydi. Men duch kelgan barcha tijorat paketlari 
ajoyib taassurot qoldirdi. Ammo budjeti kam bo‘lgan tashkilotlar hujumni aniqlash ustuvor 
vazifa bo‘lmasa, nima qilishlari kerak? Bunday holda, Snort - kuchli bepul NIDS to'plami 
mavjud. Ko'pgina ochiq kodli paketlardan farqli o'laroq, u Windows bilan mos keladi. 
Snortga kirish 
Snortning asl ishlab chiquvchisi Martin Resch dasturni GNU General Public License (GPL) 
shartlariga muvofiq ochiq hamjamiyatga taqdim etdi. Ushbu paketning tarixi 1998 yilda 
boshlangan va o'shandan beri u o'zining ishonchliligini bir necha bor isbotlagan. Dunyo bo'ylab 
ochiq hamjamiyat a'zolari va tarmoq ma'murlarining hissalari tufayli Snort juda kuchli 

---

mahsulotga aylandi. Joriy versiya real vaqt rejimida tarmoq trafigini tahlil qilish va Fast Ethernet 
va Gigabit Ethernet tezligida IP-trafikni qayd etish imkonini beradi. 
Maykl Devis Snort 1.7-ni Win32 platformasiga o'tkazdi va uni Windows hamjamiyatiga taqdim 
etdi. Keyin Kris Rid Snort-ning yangi versiyalarini Windows muhitida osongina o'rnatilishi 
mumkin bo'lgan bajariladigan fayllarga kompilyatsiya qilish vazifasini o'z zimmasiga oldi. 
NIDS bilan tanish bo'lmagan ma'murlar ushbu vositani tarmoq analizatorining maxsus turi deb 
hisoblashlari mumkin. NIDS interfeys orqali o'tadigan har bir paketni tekshiradi, odatda zararli 
kod yashiringan foydali yukdagi ma'lum naqshlarni qidiradi. Snort yordamida siz tashkilot 
tarmog'i orqali o'tadigan har bir paketda qidirish va moslashtirish operatsiyalarini bajarishingiz 
va real vaqt rejimida ko'plab hujumlar va noqonuniy trafikni aniqlashingiz mumkin. 
Snort talablari 
Snort ishlashi uchun kamida bitta tarmoq adapteri bo'lgan Windows kompyuteri kerak. Ikki 
NICga ega bo'lish yaxshiroqdir, biri nazorat qilinadigan tarmoqqa, ikkinchisi esa ishlab chiqarish 
tarmog'iga ulangan; ikkinchisi hisobotlarni yuboradi. Snort nafaqat Windows 2000 Server va 
undan keyingi versiyalari, balki Windows XP Professional Edition, XP Home Edition va 
Windows 2000 Professional bilan ham mos keladi. Server litsenziyalari talab qilinmaydi. Men 
har kuni XP Pro noutbukimni ko'plab mijozlar tarmoqlariga ulayman va odatda Snort-ni xizmat 
sifatida ishlataman. Shunday qilib, dastur fonda ishlaydi va mening tizimimga ushbu mijoz 
tarmog'idan kelayotgan hujumlarni aniqlaydi. Men Snort-dan portativ sensor sifatida 
foydalanaman - dastur noutbuk ulanadigan har qanday port uchun NIDS vazifasini bajaradi. 
Kichikroq tarmoqlarda siz Snort-ni kirish darajasidagi serverda o'rnatishingiz mumkin. Ruxsatsiz 
kirishga urinishlarni aniqlash uchun yuqori quvvatli maxsus mashina kerak emas. Masalan, men 
1 gigagertsli protsessorli va 1 Gb tezkor xotiraga ega FreeBSD-ga asoslangan Snort tugunlari 
haqida eshitganman, ular 15 000 foydalanuvchi va bir nechta T-3 WAN havolalari bilan 
tarmoqlarga muvaffaqiyatli xizmat ko'rsatgan. Snort manba kodining samaradorligi tufayli 
dasturni ishga tushirish uchun juda kuchli mashina kerak emas. 
NIDSni aniqlash uchun tarmoqdagi eng yaxshi joy qayerda? Birinchi fikr qurilmani xavfsizlik 
devori oldiga qo'yishdir. Bu erda NIDS eng ko'p hujumlarni aniqlaydi, ammo noto'g'ri pozitivlar 
soni ham eng yuqori bo'ladi va administrator juda ko'p foydasiz ogohlantirishlarni oladi. 
Xavfsizlik devori tomonidan to'xtatilgan tahdidlar haqida tashvishlanishingiz shart emas, uning 
orqasiga kirgan xavfli dasturlarni aniqlash muhimroqdir. Shunday ekan, Snort-ni xavfsizlik 
devori orqasiga qo'ygan ma'qul. 
Biroq, agar foydalanuvchilar tarmoqqa VPN ulanishi (Internet orqali yoki simsiz ulanish orqali) 
orqali ulansa, NIDSni xavfsizlik devori orqasida, masalan, VPN serveri yoki konsentrator 
orqasida joylashtirish mantiqan to'g'ri keladi. ular VPN tunnelini tark etishadi. Aks holda, NIDS 
VPN trafigiga o'rnatilgan zararli dasturlarga qarshi tura olmaydi, chunki tahlil qilingan paketlar 
shifrlanadi. Xuddi shu narsa shifrlangan SMTP trafigiga, elektron pochta xabarlariga 

---

biriktirilgan shifrlangan .zip fayllarga va shifrlangan maʼlumotlarning boshqa turlariga ham 
tegishli. 
Ideal holda, NIDS har qanday trafikni shifrlovchi komponentlar orqasida etarlicha uzoqda 
joylashgan bo'lishi va iloji boricha ko'proq segmentlar va pastki tarmoqlardagi trafikni tahlil 
qilish uchun tarmoq perimetriga etarlicha yaqin bo'lishi kerak. Kommutatsiyalangan tarmoq 
muhitida kommutator odatda tarmoq orqali o'tadigan barcha paketlar yig'iladigan diagnostika 
portini talab qiladi. Natijada, NIDS barcha tarmoq trafigiga oson kirish imkoniyatiga ega. 
Endi siz Snort bilan tanish bo'lganingizdan va hosting talablaringizni bilganingizdan so'ng, 
NIDSni o'rnatishingiz va sinab ko'rishingiz mumkin. Snort haqida qo'shimcha ma'lumot olish 
uchun "Internetdagi manbalar" yon panelida bog'langan hujjatlarga qarang. Ushbu jarayon etti 
bosqichdan iborat: 
1. WinPcap o'rnatilmoqda 
2. Snort o'rnatilmoqda 
3. Snort sinovi 
4. Snort o'rnatilmoqda 
5. Qoidalarni o'rnatish 
6. Ogohlantirishlar va jurnallarni sozlash 
7. Xizmat sifatida ishga tushirish 
1-qadam. WinPcap-ni o'rnatish 
Aslini olganda, Snort promiscuous rejimda ishlaydigan tarmoq analizatoridir, shuning uchun u 
haydovchi darajasida yordamga muhtoj. Ushbu yordam WinPcap tomonidan taqdim etiladi. 
Loris DiGioanni WinPcap-ni Unix foydalanuvchilari orasida keng qo'llaniladigan paketlarni 
yozib olish libpcap drayverini Windows muhitiga ko'chirish orqali yaratdi. WinPcap yadro 
darajasidagi paket filtrini, past darajadagi DLL (packet.dll) va yuqori darajadagi tizimdan 
mustaqil kutubxonani (libpcap 0.6.2 asosidagi wpcap.dll) o'z ichiga oladi. 
WinPcap dan yuklab olish mumkin http://winpcap.polito.it. Drayv Windows Server 2003, XP, 
Windows 2000, Windows NT, Windows Me va Windows 9x bilan mos keladi. WinPcap 
shuningdek, dan mavjud bo'lgan ochiq manbali Ethereal paketli snifferni qo'llab-quvvatlaydi. 
Ethereal-dan foydalanib, Snort to'g'ri o'rnatilganligini tekshirishingiz mumkin. 
WinPcap o'rnatish faylini tarmoqdan yuklab olgandan so'ng, o'rnatish protsedurasining bir nechta 
ekranlaridan o'tish kifoya. Foydalanuvchining eng katta harakatini litsenziya shartlariga rozi 
bo'lishingiz kerak bo'lgan ekran talab qiladi. 
2-qadam Snort-ni o'rnating 
Keyingi qadam Snort-ni o'rnatishdir. Eng so'nggi versiyani CodeCraft Consultants veb-saytlarida 
topish mumkin ( http://www.codecraftconsultants.com/snort.aspx) yoki Snort.org 
( http://www.snort.org). Men Snort-ni CodeCraft Consultants-dan yuklab olishni tavsiya 
qilaman, chunki o'z-o'zidan ochiladigan bajariladigan faylni ushbu saytdan olish mumkin. Dastur 
hatto foydalanuvchini Snort-ni kompyuterga o'rnatishning asosiy bosqichlari bo'yicha yo'l-yo'riq 

---

ko'rsatadi. Ushbu maqola Snort 2.1.1 build 18 ning eng so'nggi versiyasidan foydalangan holda 
tayyorlangan. Yangilangan versiyalar o'shandan beri chiqarilgan. 
Birinchi dialog oynasida o'rnatuvchini ishga tushirganingizda, natijalarni saqlash uchun 
ma'lumotlar bazasini sozlash rejimini tanlashingiz kerak. Agar siz MySQL yoki ODBC-mos 
keladigan ma'lumotlar bazasidan foydalanayotgan bo'lsangiz, standart rejimni qabul qilishingiz 
mumkin (1-rasm). Ammo agar siz jurnallarni Microsoft SQL Server yoki Oracle ma'lumotlar 
bazasida saqlamoqchi bo'lsangiz, unda siz tegishli rejimni tanlashingiz va mashinada kerakli 
mijoz dasturi mavjudligiga ishonch hosil qilishingiz kerak. Ushbu maqola standart rejim 
yordamida tayyorlangan. 
Keyingi qadam, qaysi Snort komponentlarini o'rnatish kerakligini aniqlashdir. Standart to'plam 
(ekran 2) yaxshi, shuning uchun uni qabul qilishni va "Keyingi" ni bosishni tavsiya qilaman. 
O'rnatish joyini tanlash dialog oynasida Snort o'rnatiladigan katalogni ko'rsatishingiz kerak. 
Katalog nomini kiritgandan so'ng, o'rnatish jarayonini yakunlash uchun "Keyingi" tugmasini 
bosing.