Snort IDS processing content pack (контент багц)

← Контент багцууд

Snort IDS processing content pack (контент багц)

Snort нь нээлттэй эхийн сүлжээний халдлага илрүүлэх систем (IDS) болон халдлагаас урьдчилан сэргийлэх систем (IPS) юм. Энэ IDS/IPS нь Internet Protocol (IP) сүлжээнд бодит цагийн траффик шинжилгээ болон пакет логжуулалт хийдэг. Мөн semantic URL халдлага, server message block probe, үйлдлийн системийн fingerprint авах оролдлого, нууц порт скан болон buffer overflow-г илрүүлэхэд ашиглаж болно.

Snort-ийг гурван өөр горимд тохируулж болно: packet-capture горим, logging горим эсвэл IDS горим. Энэ багц Snort-ийг IDS горимд ажиллуулах бөгөөд урьдчилан тодорхойлсон дүрмүүдтэй ирнэ. Snort нь өөрийн хянаж буй аливаа сүлжээгээр дамжих пакетийн агуулгыг дүрэм бүрт хэрэглэнэ.

Snort дүрмийн жишээ

alert icmp any any -> any any (msg:"ICMP flood"; sid:1000001; rev:1; classtype:icmp-event; detection_filter:track by_dst, count 500, seconds 3;)

Дэмжигдэх хувилбарууд

Snort нь Ubuntu болон RedHat суурьтай Linux хувилбарууд, FreeBSD, Fedora дээр ажиллах боломжтой.

Stream-ийн тохиргоо

Энэ технологийн багц нэг stream агуулна:

• "Illuminate: Snort IDS Messages"

Index set-ийн тохиргоо

Энэ технологийн багц нэг index set тодорхойлолт агуулна:

• "Snort IDS Logs"

Үндсэн тохиргооны файл: /etc/snort/snort.com.

Суулгах болон тохируулах заавруудыг Snort-ийн албан ёсны баримт бичгээс үзнэ үү.

Шаардлага

Энэ технологийн багцыг ашиглахын тулд Snort 3-ыг JSON форматаар лог бичихээр тохируулна. alert_fast зэрэг логийн тохиргоог ашиглаж болох ч үйл явдлын дэлгэрэнгүй мэдээллийг авахад JSON тохиргоо шаардлагатай.

Доорх snort.lua файлыг Snort alert болон AppID alert хоёрт хоёуланд нь ашиглаж болно. AppID ашиглахгүй бол эдгээр тохиргоог үл хэрэгсэж болно.

Санал болгож буй зам болон файлын нэрсийг доор жагсаав. Хэрэв эдгээр нь одоо байгаа тохиргооноос өөр бол Filebeat-ийн тохиргоонд зам, файлын нэрсийг тохируулах хэрэгтэй.

• Snort: /var/log/snort/alert_json.txt
• AppID: /var/log/snort/appid-output.json

AppID, суулгалт, хэрэглээний талаарх нэмэлт мэдээллийг Snort-ийн баримт бичгээс үзнэ үү. Linux дистрибюшнуудад AppID суулгаж, тохируулах жишээ зааврыг Snort 3 Setup Guides хэсгээс олж болно.

Snort 3-ийн тохиргоо

snort.lua:

alert_json =
{
        fields = 'timestamp seconds action class b64_data dir dst_addr dst_port eth_dst eth_len eth_src eth_type gid icmp_code icmp_id icmp_seq icmp_type iface ip_id ip_len msg pkt_gen pkt_len pkt_num priority proto rev rule service sid src_addr src_ap src_port target tcp_ack tcp_flags tcp_len tcp_seq tcp_win tos ttl udp_len vlan b64_data client_bytes client_pkts flowstart_time server_bytes server_pkts',
        file = true,
        limit = 100,
}
appid_listener =
{
    json_logging = true,
    file = "/var/log/snort/appid-output.json",
}

Snort нь JSON форматаар лог бичихээр тохируулагдсан тул талбар бүрийг задалж, Security Data Lake руу хүргэх хүргэлтийн систем шаардлагатай. Энэ технологийн багц нь Illuminate боловсруулалтад зориулан логийг Security Data Lake руу задлан хүргэхээр таних, input болон output-ын тусгай тохиргоотой Filebeat-ээр лог хүргэхийг дэмжинэ.

Энэ тохиргоонд paths болон fields хэсгүүд шаардлагатай. Хэрэв Snort логууд доорх .yml файлд заасан замуудаас өөр замд хадгалагдаж байвал эдгээр замыг шинэчлэх ёстой. event_source_product: snort талбар нь логийг зөв таньж, задлахад чухал.

Filebeat-ийн тохиргоо

Filebeat-ийн суулгалт, тохиргооны талаарх нэмэлт мэдээллийг дараах эх сурвалжуудаас үзнэ үү:

• Filebeat download
• Filebeat configuration

Дор Filebeat-ийг тохируулахад засаж болох үндсэн тохиргооны файл байна.

filebeat.yml:

- type: filestream
  id: snort-filestream
  enabled: true
  paths:
    - /var/log/snort/alert_json.txt
    - /var/log/snort/appid-output.json
  parsers:
    - ndjson:
        target: "snort3"
        add_error_key: true
        overwrite_keys: true
  fields:
    event_source_product: snort3
    fields_under_root: true

Бусад syslog daemon-уудыг Security Data Lake руу илгээх зааврыг Syslog Inputs хэсгээс үзнэ үү.

Лог форматын жишээ

{ "timestamp" : "04/04-10:36:13.537364", "seconds" : 1680618973, "action" : "allow", "class" : "Attempted User Privilege Gain", "b64_data" : "DHWBgAABAAQAAAAAB3NvbngtZnALbWVkaWFzZWFyY2gHdmVyaXpvbgNjb20AAAEAAcAMAAUAAQAAAEQATDFhYjI2Y2NhMTI0Y2JhNGY1ZDg5Y2MwYzUwOWQ5MjY2NC01Y2U1NzM2MTU5NzEyOTc4A2VsYgl1cy1lYXN0LTEJYW1hem9uYXdzwCjAPQABAAEAAAA5AAQjrk20wD0AAQABAAAAOQAEIsacQcA9AAEAAQAAADkABDRHiMQ=", "dir" : "S2C", "dst_addr" : "192.168.1.1", "dst_port" : 44661, "eth_dst" : "B1:F1:51:71:31:31", "eth_len" : 227, "eth_src" : "81:B1:91:F1:01:01", "eth_type" : "0x800", "gid" : 1, "iface" : "ens34", "ip_id" : 24269, "ip_len" : 193, "msg" : "PROTOCOL-DNS Microsoft Threat Management Gateway heap buffer overflow attempt", "pkt_gen" : "raw", "pkt_len" : 213, "pkt_num" : 22551641, "priority" : 1, "proto" : "UDP", "rev" : 1, "rule" : "1:57878:1", "service" : "unknown", "sid" : 57878, "src_addr" : "192.168.1.2", "src_ap" : "192.168.1.2:53", "src_port" : 53, "tos" : 0, "ttl" : 61, "udp_len" : 193, "vlan" : 0, "b64_data" : "ABCLDKDDHDVBAERY3345112442JhNGY1ZDg5Y2MwYzUwOWQ5MjY2NC01Y2U1NzM2MTU5NzEyOTc4A2VsYgl1cy1lYXN0LTEJYW1hem9uYXdzwCjAPQABAAEAAAA5AAQjrk20wD0AAQABAAAAOQAEIsacQcA9AAEAAQAAADkABDRHiMQ=", "client_bytes" : 91, "client_pkts" : 1, "flowstart_time" : 1680618973, "server_bytes" : 227, "server_pkts" : 1 }

Юу багтсан бэ

Snort 3 лог мессежийг нормчилж, баяжуулах дүрмүүд.

Snort 3 лог мессежийн боловсруулалт

Illuminate-ийн Snort 3 лог мессежийн боловсруулалт дараахыг хангана:

• Snort 3 лог мессежүүдийн (IDS болон AppID) талбар гаргаж авах, нормчлох, мессеж баяжуулах.
• Дараах мессежүүдийг GIM ангилах:

Хэрэглээний тохиолдлууд

Snort нь сүлжээнд хортой пакет болон аюул заналыг хянахад ашиглагддаг. IDS эсвэл IPS-ийн аль алиныг нь гүйцэтгэх бөгөөд мянга мянган signature болон аппликейшн илрүүлэгчтэй траффикийг шинжилж, харьцуулан, сүлжээний өндөр түвшний тоймыг өгч чадна.

Энэ контент багцыг ашиглан хянах боломжтой зүйлсийн жишээ: зөвшөөрөлгүй хост эсвэл хэрэглэгч, буруу тохируулсан төхөөрөмж (DNS, hostname гэх мэт), хортой IP рүү beacon илгээж буй төхөөрөмж, brute force халдлага эсвэл бодлого зөрчсөн үйлдэл.

Snort Spotlight content pack

Snort Spotlight контент багц дараах dashboard-уудыг агуулна: Snort 3 Overview, Snort IDS Overview, Snort App ID Overview.