Τι θα χρειαστεί για να διαμορφώσετε ένα υποδίκτυο παρακολούθησης αισθητήρων δικτύου Snort Network χρησιμοποιώντας τη διεπαφή κονσόλας που βασίζεται στο Web Manage Διαχείριση του συστήματος;

Ακολουθεί μια ανάλυση των βημάτων διαμόρφωσης κλειδιών για τη δημιουργία ενός αισθητήρα IDS δικτύου Snort για να παρακολουθεί ένα υποδίκτυο, μαζί με βασικές εκτιμήσεις για τη διαχείριση του μέσω μιας κονσόλας που βασίζεται στο διαδίκτυο:

1. Ρύθμιση υλικού και δικτύου:

* Υλικό αισθητήρα Snort:

* Επιλέξτε μια ειδική πλατφόρμα υλικού ή μια εικονική μηχανή με επαρκή ισχύ επεξεργασίας και μνήμη για το SNORT.

* Βεβαιωθείτε ότι ο αισθητήρας διαθέτει διεπαφές δικτύου ικανές να παρακολουθεί την κυκλοφορία υποδικτύου.

* Συνδεσιμότητα δικτύου:

* Ο αισθητήρας SNORT πρέπει να τοποθετηθεί στρατηγικά εντός του δικτύου για να δείτε την κυκλοφορία που θέλετε να παρακολουθείτε.

* Εξετάστε μια "θύρα span" σε ένα διακόπτη για να αντικατοπτρίζει την κυκλοφορία στον αισθητήρα χωρίς να διαταράξει την κύρια ροή του δικτύου.

* Εάν έχετε ένα ειδικό δίκτυο "διαχείρισης", βεβαιωθείτε ότι ο αισθητήρας έχει πρόσβαση σε αυτό για διαμόρφωση και ενημερώσεις.

2. Εγκατάσταση και διαμόρφωση Snort:

* εγκατάσταση Snort:

* Λήψη και εγκατάσταση του πακέτου Snort IDS (συνήθως από την ιστοσελίδα snort.org) για το λειτουργικό σας σύστημα.

* Επιλέξτε την κατάλληλη έκδοση για τις ανάγκες σας.

* Διαμόρφωση:

* Διαμόρφωση διεπαφής: Ορίστε τη διεπαφή δικτύου (ες) στο οποίο θα ακούσει η Snort για κυκλοφορία.

* Επιλογές προεπεξεργασίας: Αποφασίστε πώς το SNORT θα πρέπει να προ-επεξεργαστεί εισερχόμενα πακέτα (π.χ. για παραγγελία byte, έλεγχος αριθμού αλληλουχίας TCP).

* σύνολα κανόνων: Επιλέξτε τα κατάλληλα σύνολα κανόνων για το περιβάλλον σας.

* Προ-συσκευασμένοι κανόνες του Snort: Το Snort έρχεται με σύνολα κανόνων όπως η "κοινότητα" (ένα γενικό σετ) και "αναδυόμενο" (για νεότερες απειλές).

* Προσαρμοσμένοι κανόνες: Μπορείτε να δημιουργήσετε τους δικούς σας κανόνες για την ανίχνευση συγκεκριμένων τρωτών σημείων ή προτύπων συμπεριφοράς δικτύου.

* Μέθοδοι εξόδου: Διαμορφώστε τον τρόπο με τον οποίο αναφέρει τις ειδοποιήσεις Snort, όπως:

* κονσόλα: Εμφάνιση ειδοποιήσεων στην κονσόλα του αισθητήρα.

* Καταγραφή: Γράφοντας ειδοποιήσεις σε ένα αρχείο.

* Συστήματα ειδοποίησης: Ενσωμάτωση με εξωτερικά εργαλεία όπως διακομιστές ηλεκτρονικού ταχυδρομείου, διακομιστές Syslog ή SIEMS.

3. Διασύνδεση κονσόλας που βασίζεται στο διαδίκτυο (διαχείριση)

* διεπαφή ιστού Snort (προαιρετικό):

* Ενσωματωμένη διεπαφή του Snort: Ορισμένες εκδόσεις Snort περιλαμβάνουν μια βασική διεπαφή ιστού.

* Εργαλεία τρίτου μέρους: Πολλά εργαλεία διαχείρισης εμπορικών και ανοικτών πηγών παρέχουν ενσωμάτωση Snort:

* Ανοιχτή πηγή:

* κρεμμύδι ασφαλείας: Μια πλήρης διανομή ασφαλείας που διαθέτει SNORT, SURICATA και άλλα εργαλεία ασφαλείας.

* Elsa (Elasticsearch, Logstash, Snort και ειδοποίηση): Χρησιμοποιεί Elasticsearch και LogStash για αποτελεσματική συλλογή και ανάλυση συμβάντων.

* εμπορικό:

* Alienvault Ossim: Προσφέρει μια ενοποιημένη πλατφόρμα ασφαλείας με IDS, SIEM και άλλα εργαλεία ασφαλείας.

* IBM qradar: Ένα ολοκληρωμένο σύστημα διαχείρισης SIEM και διαχείρισης απειλών.

4. Διαχείριση κανόνων και συντονισμός

* Ενημερώσεις κανόνα: Κρατήστε τα σύνολα κανόνων του Snort ενημερωμένα.

* Ρύθμιση κανόνων:

* ψευδώς θετικά: Μειώστε τα ψευδή θετικά (ειδοποιήσεις που δεν είναι πραγματικές απειλές) με τους κανόνες συντονισμού ή προσθέτοντας πλαίσιο σε αυτές.

* ψευδώς αρνητικά: Ελαχιστοποιήστε τα ψευδή αρνητικά (λείπουν πραγματικές απειλές) εξασφαλίζοντας ότι έχετε τα κατάλληλα σύνολα κανόνων.

* Ανάλυση ειδοποίησης: Διερευνήστε τις ειδοποιήσεις για να καθορίσετε τη σοβαρότητα και τις πιθανές επιπτώσεις στο δίκτυό σας.

5. Παρακολούθηση και αναφορά

* Ανάλυση καταγραφής: Αναλύστε τακτικά τα αρχεία καταγραφής για να εντοπίσετε τις τάσεις, τα πρότυπα και τις πιθανές απειλές.

* Dashboards: Οπτικοποιήστε τα δεδομένα SNORT χρησιμοποιώντας πίνακες ελέγχου για την παρακολούθηση της υγείας του δικτύου και των πιθανών περιστατικών ασφαλείας.

Παράδειγμα διαμόρφωσης:

* Αρχείο διαμόρφωσης Snort (snort.conf):

`` `

# Διεπαφή για παρακολούθηση

# Αυτό υποθέτει ότι έχετε διαμορφωμένο διακόπτη με μια θύρα span

# Και ο αισθητήρας Snort συνδέεται με αυτήν τη θύρα

διεπαφή εισόδου 0 eth1

# Επιλογές προεπεξεργασίας (ίσως χρειαστεί να προσαρμόσετε αυτά)

PPS PPS PPS PPS

Προ-επεξεργαστή Byte-order

θραύσμα κινητήρα προ -επεξεργαστή

# Σύνολα κανόνων

# Χρησιμοποιήστε τα κατάλληλα σύνολα για το περιβάλλον σας

rulepath/etc/snort/κανόνες

# Προεπιλεγμένα σύνολα κανόνων που περιλαμβάνονται στο Snort

var rule_path/etc/snort/resours

Συμπεριλάβετε $ rule_path/community.rules

Συμπεριλάβετε $ rule_path/emerging.rules

# Διαμόρφωση εξόδου

Σύνδεση εξόδου Syslog

`` `

Βασικές εκτιμήσεις:

* Απόδοση δικτύου: Βεβαιωθείτε ότι ο αισθητήρας δεν επηρεάζει αρνητικά την απόδοση του δικτύου σας διαμορφώνοντας σωστά την ικανότητα επεξεργασίας του.

* ψευδώς θετικά: Αναμείνετε έναν ορισμένο αριθμό ψευδών θετικών και έχετε ένα σχέδιο για να τα μειώσετε.

* Χειρισμός ειδοποίησης: Έχετε μια καθορισμένη διαδικασία για το χειρισμό και τη διερεύνηση ειδοποιήσεων.

* Ασφάλεια του αισθητήρα: Ασφαλίστε τον ίδιο τον αισθητήρα SNORT ενάντια σε επιθέσεις (π.χ., χρησιμοποιήστε ισχυρούς κωδικούς πρόσβασης, διατηρήστε τον ενημερωμένο και χρησιμοποιήστε τείχη προστασίας).

Θυμηθείτε: Αυτή είναι μια επισκόπηση υψηλού επιπέδου. Τα συγκεκριμένα βήματα και επιλογές διαμόρφωσης που κάνετε θα εξαρτηθούν από το περιβάλλον δικτύου, τις ανάγκες ασφαλείας και την έκδοση Snort που χρησιμοποιείτε. Είναι σημαντικό να ερευνήσετε και να δοκιμάσετε τη διαμόρφωσή σας διεξοδικά πριν αναπτύξετε το SNORT σε ένα περιβάλλον παραγωγής.