https://wiki.itcollege.ee/api.php?action=feedcontributions&feedformat=atom&user=AellikuICO wiki - User contributions [en]2026-05-08T10:10:08ZUser contributionsMediaWiki 1.45.1https://wiki.itcollege.ee/index.php?title=IDS_Systeemid_-_Labor_1&diff=76490IDS Systeemid - Labor 12014-07-01T15:34:27Z<p>Aelliku: /* Suricata parameetrite määramine */</p>
<hr />
<div>=Labor 1=<br />
<br />
Labori käigus paigaldame Suricata ning testime selle töötamist.<br />
<br />
Seame paika reeglite uuendamise Oinkmasteri abil kasutades Emerging Threats reeglikogumikku ning optimeerime kasutatavat reeglikogumikku.<br />
<br />
Laboris on kasutusel Ubuntu Linux 14.04 LTS. Täpsem info laborite kohta on leitav: [[IDS systeemid - Labori paigaldusjuhend]]<br />
<br />
==Ettevalmistused Suricata paigaldamiseks==<br />
<br />
===Seadistame eth1 võrguliidese valimatusse režiimi===<br />
<br />
1. Avame faili interfaces:<br />
<br />
vim /etc/network/interfaces<br />
<br />
2. Lisame eth1 parameetrid:<br />
<br />
auto eth1<br />
iface eth1 inet manual <br />
up ifconfig $IFACE 0.0.0.0 up<br />
up ip link set $IFACE promisc on<br />
down ip link set $IFACE promisc off <br />
down ifconfig $IFACE down<br />
<br />
3. Salvesta ja välju<br />
<br />
4. Teeme võrgu teenusele taaskäivituse<br />
<br />
service networking restart<br />
<br />
5. Kontrollime võrguliidest.<br />
<br />
ifconfig <br />
<br />
<br />
Käsu väljundis näeme kolmandas reas "UP BROADCAST RUNNING PROMISC":<br />
<br />
eth1 Link encap:Ethernet HWaddr 00:0c:29:32:bf:11<br />
inet6 addr: fe80::20c:29ff:fe32:bf11/64 Scope:Link<br />
UP BROADCAST RUNNING PROMISC MULTICAST MTU:1500 Metric:1 <br />
RX packets:1152 errors:0 dropped:0 overruns:0 frame:0 <br />
TX packets:62 errors:0 dropped:0 overruns:0 carrier:0 <br />
collisions:0 txqueuelen:1000 <br />
RX bytes:94351 (94.3 KB) TX bytes:17248 (17.2 KB)<br />
<br />
<br />
<br />
==Suricata paigaldus==<br />
<br />
1. Uuendame repositooriumi nimekirjad<br />
<br />
apt-get update<br />
<br />
2. Suricata kasutamisel Ubuntu distributsiooni peal on kõige lihtsam kasutada repositooriumi. Kõigepealt paigaldame paki nimega "python-software-properties", kuna selle sees asub programm "add-apt-repository", mida kasutame järgmisena.<br />
<br />
apt-get install python-software-properties<br />
<br />
3. Lisame repositooriumi ja piagaldame Suricata<br />
<br />
add-apt-repository ppa:oisf/suricata-stable<br />
apt-get update<br />
apt-get install suricata<br />
<br />
4. Suricata uuendamiseks saame kasutada<br />
<br />
apt-get update<br />
apt-get upgrade<br />
<br />
5. Eemaldamiseks<br />
<br />
apt-get remove suricata<br />
<br />
==Seadistamine==<br />
<br />
===Suricata parameetrite määramine===<br />
<br />
1. Loome logide kausta<br />
<br />
mkdir /var/log/suricata<br />
<br />
2. Avame Suricata konfiguratsiooni faili:<br />
<br />
vim /etc/suricata/suricata.yaml<br />
<br />
Kirjeldame kasutuses olevad operatsiooni süsteemid otsides "suricata.yaml" failist rida "host-os-policy" (VIM-i puhul saab otsimist teostada sisestades "/" ning seejärel otsitava teksti.)<br />
<br />
host-os-policy:<br />
# Make the default policy windows.<br />
windows: []<br />
bsd: []<br />
bsd-right: []<br />
old-linux: []<br />
linux: [192.168.56.200, 192.168.56.201, 192.168.56.101, 127.0.0.1]<br />
old-solaris: []<br />
solaris: []<br />
hpux10: []<br />
hpux11: []<br />
irix: []<br />
macos: []<br />
vista: []<br />
windows2k3: [ ]<br />
<br />
Kirjeldame ära aadresside grupid. Selleks otsime üles rea "address-groups"<br />
<br />
address-groups:<br />
HOME_NET: "[192.168.56.0/24]"<br />
EXTERNAL_NET: "!$HOME_NET"<br />
<br />
===Enda kirjutatud reeglid===<br />
<br />
1. Enda kirjutatud reeglite kasutamiseks loome faili local.rules<br />
<br />
touch /etc/suricata/rules/local.rules<br />
<br />
Juhul kui rules kaust puudub, siis loome selle<br />
<br />
mkdir /etc/suricata/rules<br />
<br />
Lisame local.rules faili ühe reegli<br />
<br />
vim /etc/suricata/rules/local.rules<br />
<br />
alert ip any any -> any any (msg:"ICMP detected"; sid:2; rev:1;)<br />
<br />
2. Lisame Suricata kofiguratsiooni kohalike reeglite faili.<br />
<br />
vim /etc/suricata/suricata.yaml<br />
<br />
Otsime üles rea "rule-files" ja lisame sinna alla esimese reana local.rules faili.<br />
<br />
rule-files:<br />
- local.rules<br />
- botcc.rules<br />
- ciarmy.rules<br />
- compromised.rules<br />
- drop.rules<br />
- dshield.rules<br />
- emerging-activex.rules<br />
- emerging-attack_response.rules<br />
- emerging-chat.rules<br />
- emerging-current_events.rules<br />
- emerging-dns.rules<br />
- emerging-dos.rules<br />
- emerging-exploit.rules<br />
- emerging-ftp.rules<br />
...<br />
<br />
3. Reegli testimiseks käivitame Suricata ning seadistame kuulama eth1 võrguliidese peale, mille eelnevalt seadistasime valimatusse režiimi.<br />
<br />
suricata -c /etc/suricata/suricata.yaml -i eth1<br />
<br />
4. Pingime kliendi masinast IDS serverit<br />
<br />
ping ids<br />
<br />
5. Kõrvale avame teise ssh ühenduse ids serverisse ja avame Suricata logi<br />
<br />
tail -f /var/log/suricata/fast.log<br />
<br />
Näeme, et logisse lisanduvad teated reeglile vastavast liiklusest<br />
<br />
05/25/2014-13:03:58.407499 [**] [1:2:1] ICMP detected [**] [Classification: (null)] [Priority: 3] {ICMP} 192.168.56.3:8 -> 192.168.56.2:0<br />
05/25/2014-13:03:58.407526 [**] [1:2:1] ICMP detected [**] [Classification: (null)] [Priority: 3] {ICMP} 192.168.56.2:0 -> 192.168.56.3:0<br />
05/25/2014-13:03:59.407073 [**] [1:2:1] ICMP detected [**] [Classification: (null)] [Priority: 3] {ICMP} 192.168.56.3:8 -> 192.168.56.2:0<br />
05/25/2014-13:03:59.407097 [**] [1:2:1] ICMP detected [**] [Classification: (null)] [Priority: 3] {ICMP} 192.168.56.2:0 -> 192.168.56.3:0<br />
<br />
===Oinkmaster üles seadmine reeglikogumike uuendamiseks===<br />
<br />
1. Paigaldame OinkMasteri<br />
<br />
apt-get install oinkmaster<br />
<br />
On olemas mitmed reeglikogumikke. Praegusel juhul kasutame Emerging Threats (ET) reeglikogumikku.<br />
<br />
Oinkmaster peab teada, kust saab reeglikogumikku alla laadida:<br />
http://rules.emergingthreats.net/open/suricata/emerging.rules.tar.gz<br />
<br />
2. Selle lingi lisamiseks avame oinkmaster.conf faili:<br />
<br />
vim /etc/oinkmaster.conf<br />
<br />
3. Leiame üles rea ET reeglite veebilehele (vim puhul saab otsingut teostada sisestades kõigepealt "/" ning seejärel otsingu stringi):<br />
<br />
/Emerging Threats<br />
<br />
4. Lisame hüperlingi:<br />
<br />
url = http://rules.emergingthreats.net/open/suricata/emerging.rules.tar.gz<br />
<br />
<br />
Pärast muudatuse sisse viimist näeb faili sektsiooni välja selline:<br />
<br />
# Example for rules from the Emerging Threats site (previously known as Bleeding Snort).<br />
# url = http://www.emergingthreats.net/rules/emerging.rules.tar.gz<br />
# Old url:<br />
# url = http://www.bleedingsnort.com/downloads/bleeding.rules.tar.gz<br />
url = http://rules.emergingthreats.net/open/suricata/emerging.rules.tar.gz<br />
<br />
5. Salvesta ja välju failist. Vim puhul, väljuda paoklahviga sisestus režiimist ning seejärel ":wq".<br />
<br />
<br />
6. Uuendame reeglikogumiku:<br />
<br />
cd /etc<br />
oinkmaster -C /etc/oinkmaster.conf -o /etc/suricata/rules<br />
<br />
7. Pärast reeglite alla laadimist ja lahti pakkimist on reeglite kaustast leitavad ka kaks faili nimedega classification. config ja reference.config. Mõlemad on vaja lisada Suricata konfiguratsiooni faili:<br />
<br />
vim /etc/suricata/suricata.yaml<br />
<br />
Konfiguratsioonis otsime üles rea"classification-file" ning muudame ära vajalikud parameetrid. Lõpptulemusena saame: <br />
<br />
classification-file: /etc/suricata/rules/classification.config<br />
reference-config-file: /etc/suricata/rules/reference.config<br />
<br />
8. Testimiseks käivitame suricata:<br />
<br />
suricata -c /etc/suricata/suricata.yaml -i eth1<br />
<br />
9. Käivitamisel näeme, et mitmed reegli failid pole saadaval. Nende mitte kasutamiseks saame suricata.yaml faili rule-files sektsioonis lisada konkreetse reegli faili ette #.<br />
<br />
vim /etc/suricata.yaml<br />
<br />
Lisame # kahe faili ette:<br />
<br />
# - emerging-icmp.rules<br />
# - dns-events.rules<br />
<br />
10. Salvestame ja väljume.<br />
<br />
11. Reeglite hilisemaks uuendamiseks käivitame käsu:<br />
<br />
oinkmaster -C /etc/oinkmaster.conf -o /etc/suricata/rules<br />
<br />
<br />
'''Soovituslik on reegleid tihti uuendada. ET reeglikogumikku uuendatakse korra päevas.'''<br />
<br />
<br />
===Automaatne uuendamine oinkmasteri abil===<br />
<br />
Et muuta reeglite uuendamine lihtsaks ja automaatseks, seadistame croni töö oinkmasteri automaatseks käivitamiseks.<br />
<br />
1. Loome reeglite varundamiseks kausta.<br />
<br />
mkdir /etc/suricata/backup<br />
<br />
2. Lisame uue kasutaja oinkmaster<br />
<br />
useradd oinkmaster<br />
<br />
3. Muudame mõningad failiõigused.<br />
<br />
chown -R oinkmaster /etc/suricata/backup<br />
chown -R oinkmaster /etc/suricata/rules<br />
<br />
4. Testime, kas töötab<br />
<br />
su oinkmaster<br />
oinkmaster -C /etc/oinkmaster.conf -o /etc/suricata/rules -b /etc/suricata/backup 2>&1<br />
<br />
5. Kuna me tahame seda iga päev käivitada, siis lisame crontabi alla vastava töö<br />
<br />
crontab -e -u oinkmaster<br />
<br />
30 00 * * * oinkmaster -o /etc/snort/rules -b /etc/snort/backup 2>&1 >> /dev/null 2>&1<br />
<br />
<br />
===Reeglikogumike optimeerimine===<br />
<br />
Mida rohkem reegleid on kasutuses, seda rohkem ressurssi on vaja pakettide analüüsimiseks.<br />
Seega mõtekas on keelata need reeglid, mis käivad tehnoloogiate või teenuste vastu mida asutuse infrastruktuuris ei esine.<br />
<br />
Kõigepealt keelame mõned üldised grupid. Selleks avame uuesti Suricata konfiguratsiooni faili:<br />
<br />
vim /etc/suricata/suricata.yaml<br />
<br />
Otsime üles rea "rule-files".<br />
<br />
/rule-files<br />
<br />
Reegli grupi keelamiseks on vaja konkreetne reegli faili välja kommenteerida, lisades rea ette #.<br />
<br />
Oletame, et poliitikatega on infrastruktuuris keelatud ActiveX tehnoloogia kasutamine, ei leia kasutust ftp protokoll ning ei ole ka SCADA seadmeid. <br />
<br />
'''Ülesanne'''<br />
Otsida suricata.yaml failist üles sektsioon "rule-files:" ning kommenteerida välja need 3 reeglite faili mis käsitlevad neid teenuseid (Active-X; FTP; SCADA).<br />
<br />
===Üksiku või mitme reegli keelamine===<br />
<br />
Üksiku reegli või mitme reegli lubamiseks/keelamiseks on vaja leida reegli sid. Seda seetõttu, et sid alusel saab reegli keelata oinkmasteri konfiguratsioonis. Sellisel juhul jääb reegel keelatuks ka pärast reeglikogumiku uuendamist.<br />
<br />
Antud näite puhul ütleme, et asutus on paiganud kõigi Linuxi serverite OpenSSL teegid ning seeläbi kõrvaldanud HeartBleed nimelise nõrkuse. Seega kõik reeglid, mis käsitlevad seda nõrkust võib keelata.<br />
<br />
1. Otsime üles kõik HeartBleedi käsitlevad reeglid.<br />
<br />
cd /etc/suricata/rules<br />
grep -R "HeartBleed"<br />
<br />
<br />
Leiame, et HeartBleedi käsitlevaid reegleid on 6. Kuigi väljastati 12 rida on esimesed 6 rida pärit sid-msg.map failist, kus hoitakse teadete ja reegli id vahelisi seoseid seega need võib välja jätta.<br />
<br />
2. Eraldame välja kõigi 6 reegli sid tunnused.<br />
<br />
grep -R "HeartBleed" | grep -P -o "sid\:\d+" | grep -o -P "\d{2,}+" | tr '\n' ',' >> /etc/oinkmaster.conf<br />
<br />
Üleval nähtava käsuga, filtreerime reegli failidest rekursiivselt välja kõik read kus sisaldub sõna HeartBleed, seejärel eraldame nendest ridadest sid tunnused ja puhastame read üleliigsest. Viimaks asendame tr käsu abil reavahetused komaga ja kirjutame tekkinud rea Oinkmasteri konfiguratsiooni faili lõppu.<br />
<br />
<br />
3. Avame Oinkmasteri konfiguratsiooni ja kerime faili lõppu. Eelmise käsuga sinna kirjutatud sid tunnused on meid ootamas.<br />
<br />
vim /etc/oinkmaster.conf<br />
<br />
4. Kirjutame sid tunnuste ette parameetri "disablesid" ning rea lõppu lisame # ja kommentaari. Lõpptulemusena näeb oinkmasteri konfiguratsiooni faili viimane rida välja selline:<br />
<br />
disablesid 2018377, 2018378, 2018382, 2018383, 2018388, 2018389 # Ei ole enam HeartBleedi haavatavust<br />
<br />
5. Salvestame ja väljume.<br />
<br />
6. Kui käivitame Oinkmasteri uuenduse uuesti, siis näeme millised ja kui mitu reeglit on keelatud.<br />
<br />
oinkmaster -C /etc/oinkmaster.conf -o /etc/suricata/rules<br />
<br />
==Kursuse avaleht==<br />
<br />
[[Sissetungi tuvastuse systeemid]]</div>Aellikuhttps://wiki.itcollege.ee/index.php?title=IDS_Systeemid_-_Labor_2&diff=76489IDS Systeemid - Labor 22014-07-01T15:33:43Z<p>Aelliku: /* Labor 2 */</p>
<hr />
<div>=Labor 2=<br />
==Reegli kirjutamine ning rünnaku tuvastus ja analüüs==<br />
<br />
Käesolevas laboris uurime ühte konkreetset rünnakut ning kirjutame selle tuvastamiseks reegli. Lisaks sellele paigaldame Logstashi ja Kibana nimelised tarkvarad, et graafiliselt vaaadelda rünnakuid. Logstash ja Kibana sobivad väga hästi logide kogumiseks ja keskkonsoolina kasutamiseks.<br />
<br />
Eelduslik labor 1 on leitav: [[IDS Systeemid - Labor 1]]<br />
<br />
Laboris on kasutusel Ubuntu Linux 14.04 LTS. Täpsem info laborite kohta on leitav: [[IDS systeemid - Labori paigaldusjuhend]]<br />
<br />
==Paigaldame Logstashi ja Kibana==<br />
<br />
1. Paigaldame eeldus tarkvara:<br />
<br />
<source lang="bash"><br />
apt-get install apache2 openjdk-7-jdk openjdk-7-jre-headless<br />
</source><br />
<br />
2. Laeme alla ja paigaldame Logstashi ja Kibana(alla laadimine võtab natuke aega):<br />
<source lang="bash"><br />
wget https://download.elasticsearch.org/kibana/kibana/kibana-3.1.0.tar.gz<br />
wget https://download.elasticsearch.org/elasticsearch/elasticsearch/elasticsearch-1.2.0.deb<br />
wget https://download.elasticsearch.org/logstash/logstash/packages/debian/logstash_1.4.1-1-bd507eb_all.deb<br />
<br />
tar -C /var/www/ -xzf kibana-3.1.0.tar.gz<br />
mv /var/www/kibana-3.1.0 /var/www/kibana<br />
dpkg -i elasticsearch-1.1.0.deb<br />
dpkg -i logstash_1.4.0-1-c82dc09_all.deb<br />
</source><br />
<br />
3. Loome Logstashi konfiguratsiooni faili ja kopeerime sinna konfiguratsiooni:<br />
<source lang="bash"><br />
touch /etc/logstash/conf.d/logstash.conf<br />
vim /etc/logstash/conf.d/logstash.conf<br />
</source><br />
<br />
Kopeerime logstash.conf faili järgnevad read:<br />
<source lang="bash"><br />
input {<br />
file { <br />
path => ["/var/log/suricata/eve.json"]<br />
codec => json <br />
type => "SuricataIDPS-logs" <br />
}<br />
<br />
}<br />
<br />
filter {<br />
if [type] == "SuricataIDPS-logs" {<br />
date {<br />
match => [ "timestamp", "ISO8601" ]<br />
}<br />
}<br />
<br />
if [src_ip] {<br />
geoip {<br />
source => "src_ip" <br />
target => "geoip" <br />
database => "/opt/logstash/vendor/geoip/GeoLiteCity.dat" <br />
add_field => [ "[geoip][coordinates]", "%{[geoip][longitude]}" ]<br />
add_field => [ "[geoip][coordinates]", "%{[geoip][latitude]}" ]<br />
}<br />
mutate {<br />
convert => [ "[geoip][coordinates]", "float" ]<br />
}<br />
}<br />
}<br />
<br />
output { <br />
elasticsearch {<br />
host => localhost<br />
}<br />
}<br />
</source><br />
<br />
4. Seadistame käivitumise teenused:<br />
<source lang="bash"><br />
update-rc.d elasticsearch defaults 95 10<br />
update-rc.d logstash defaults<br />
<br />
service apache2 restart<br />
service elasticsearch start<br />
service logstash start<br />
</source><br />
<br />
5. Seadistame Apache:<br />
<source lang="bash"><br />
cd /etc/apache2/sites-available/<br />
cp 000-default.conf kibana.conf<br />
</source><br />
<br />
Seadistame VirtualHosti konfi järgnevaks:<br />
<source lang="bash"><br />
Listen 8080<br />
<VirtualHost *:8080><br />
# The ServerName directive sets the request scheme, hostname and port that<br />
# the server uses to identify itself. This is used when creating<br />
# redirection URLs. In the context of virtual hosts, the ServerName<br />
# specifies what hostname must appear in the request's Host: header to<br />
# match this virtual host. For the default virtual host (this file) this<br />
# value is not decisive as it is used as a last resort host regardless.<br />
# However, you must set it for any further virtual host explicitly.<br />
#ServerName www.example.com<br />
ServerName ids.planet.zz<br />
ServerAdmin webmaster@localhost<br />
DocumentRoot /var/www/kibana-3.1.0<br />
<br />
# Available loglevels: trace8, ..., trace1, debug, info, notice, warn,<br />
# error, crit, alert, emerg.<br />
# It is also possible to configure the loglevel for particular<br />
# modules, e.g.<br />
#LogLevel info ssl:warn<br />
<br />
ErrorLog ${APACHE_LOG_DIR}/error.log<br />
CustomLog ${APACHE_LOG_DIR}/access.log combined<br />
<br />
# For most configuration files from conf-available/, which are<br />
# enabled or disabled at a global level, it is possible to<br />
# include a line for only one particular virtual host. For example the<br />
# following line enables the CGI configuration for this host only<br />
# after it has been globally disabled with "a2disconf".<br />
#Include conf-available/serve-cgi-bin.conf<br />
</VirtualHost><br />
</source><br />
<br />
Lubame virtualhosti:<br />
<br />
<source lang="bash"><br />
a2ensite kibana.conf<br />
</source><br />
Kofigureerime Kibana esmaseks töölauaks Logstashi vaate:<br />
<source lang="bash"><br />
cd /var/www/kibana-3.1.0/app/dashboards/<br />
curl -o suricata2.json https://gist.githubusercontent.com/regit/8849943/raw/15f1626090d7bb0d75bca33807cfaa4199b767b4/Suricata%20dashboard<br />
</source><br />
<br />
Laeme apache teenuse uuesti:<br />
<source lang="bash"><br />
service apache2 reload<br />
</source><br />
<br />
Minnes veebilehtsejaga aadressile http://ids.planet.zz:8080/#/dashboard/file/suricata2.json, avaneb meile Kibana liides eelnevalt Suricata jaoks loodud vaatega.<br />
<br />
<br />
<br />
http://blog.oneiroi.co.uk/ids/ips/security/visualization/kibana/logstash/suricata/arm/utilite/suricata-logstash-kibana-utilite-pro-arm/<br />
<br />
https://gist.github.com/regit<br />
<br />
https://home.regit.org/category/securite/<br />
<br />
http://www.appliednsm.com/category/analysis/</div>Aellikuhttps://wiki.itcollege.ee/index.php?title=IDS_Systeemid_-_Labor_2&diff=76488IDS Systeemid - Labor 22014-07-01T15:33:06Z<p>Aelliku: /* Labor 2 */</p>
<hr />
<div>=Labor 2=<br />
==Reegli kirjutamine ning rünnaku tuvastus ja analüüs==<br />
<br />
Käesolevas laboris uurime ühte konkreetset rünnakut ning kirjutame selle tuvastamiseks reegli. Lisaks sellele paigaldame Logstashi ja Kibana nimelised tarkvarad, et graafiliselt vaaadelda rünnakuid. Logstash ja Kibana sobivad väga hästi logide kogumiseks ja keskkonsoolina kasutamiseks.<br />
<br />
Laboris on kasutusel Ubuntu Linux 14.04 LTS. Täpsem info laborite kohta on leitav: [[IDS systeemid - Labori paigaldusjuhend]]<br />
<br />
==Paigaldame Logstashi ja Kibana==<br />
<br />
1. Paigaldame eeldus tarkvara:<br />
<br />
<source lang="bash"><br />
apt-get install apache2 openjdk-7-jdk openjdk-7-jre-headless<br />
</source><br />
<br />
2. Laeme alla ja paigaldame Logstashi ja Kibana(alla laadimine võtab natuke aega):<br />
<source lang="bash"><br />
wget https://download.elasticsearch.org/kibana/kibana/kibana-3.1.0.tar.gz<br />
wget https://download.elasticsearch.org/elasticsearch/elasticsearch/elasticsearch-1.2.0.deb<br />
wget https://download.elasticsearch.org/logstash/logstash/packages/debian/logstash_1.4.1-1-bd507eb_all.deb<br />
<br />
tar -C /var/www/ -xzf kibana-3.1.0.tar.gz<br />
mv /var/www/kibana-3.1.0 /var/www/kibana<br />
dpkg -i elasticsearch-1.1.0.deb<br />
dpkg -i logstash_1.4.0-1-c82dc09_all.deb<br />
</source><br />
<br />
3. Loome Logstashi konfiguratsiooni faili ja kopeerime sinna konfiguratsiooni:<br />
<source lang="bash"><br />
touch /etc/logstash/conf.d/logstash.conf<br />
vim /etc/logstash/conf.d/logstash.conf<br />
</source><br />
<br />
Kopeerime logstash.conf faili järgnevad read:<br />
<source lang="bash"><br />
input {<br />
file { <br />
path => ["/var/log/suricata/eve.json"]<br />
codec => json <br />
type => "SuricataIDPS-logs" <br />
}<br />
<br />
}<br />
<br />
filter {<br />
if [type] == "SuricataIDPS-logs" {<br />
date {<br />
match => [ "timestamp", "ISO8601" ]<br />
}<br />
}<br />
<br />
if [src_ip] {<br />
geoip {<br />
source => "src_ip" <br />
target => "geoip" <br />
database => "/opt/logstash/vendor/geoip/GeoLiteCity.dat" <br />
add_field => [ "[geoip][coordinates]", "%{[geoip][longitude]}" ]<br />
add_field => [ "[geoip][coordinates]", "%{[geoip][latitude]}" ]<br />
}<br />
mutate {<br />
convert => [ "[geoip][coordinates]", "float" ]<br />
}<br />
}<br />
}<br />
<br />
output { <br />
elasticsearch {<br />
host => localhost<br />
}<br />
}<br />
</source><br />
<br />
4. Seadistame käivitumise teenused:<br />
<source lang="bash"><br />
update-rc.d elasticsearch defaults 95 10<br />
update-rc.d logstash defaults<br />
<br />
service apache2 restart<br />
service elasticsearch start<br />
service logstash start<br />
</source><br />
<br />
5. Seadistame Apache:<br />
<source lang="bash"><br />
cd /etc/apache2/sites-available/<br />
cp 000-default.conf kibana.conf<br />
</source><br />
<br />
Seadistame VirtualHosti konfi järgnevaks:<br />
<source lang="bash"><br />
Listen 8080<br />
<VirtualHost *:8080><br />
# The ServerName directive sets the request scheme, hostname and port that<br />
# the server uses to identify itself. This is used when creating<br />
# redirection URLs. In the context of virtual hosts, the ServerName<br />
# specifies what hostname must appear in the request's Host: header to<br />
# match this virtual host. For the default virtual host (this file) this<br />
# value is not decisive as it is used as a last resort host regardless.<br />
# However, you must set it for any further virtual host explicitly.<br />
#ServerName www.example.com<br />
ServerName ids.planet.zz<br />
ServerAdmin webmaster@localhost<br />
DocumentRoot /var/www/kibana-3.1.0<br />
<br />
# Available loglevels: trace8, ..., trace1, debug, info, notice, warn,<br />
# error, crit, alert, emerg.<br />
# It is also possible to configure the loglevel for particular<br />
# modules, e.g.<br />
#LogLevel info ssl:warn<br />
<br />
ErrorLog ${APACHE_LOG_DIR}/error.log<br />
CustomLog ${APACHE_LOG_DIR}/access.log combined<br />
<br />
# For most configuration files from conf-available/, which are<br />
# enabled or disabled at a global level, it is possible to<br />
# include a line for only one particular virtual host. For example the<br />
# following line enables the CGI configuration for this host only<br />
# after it has been globally disabled with "a2disconf".<br />
#Include conf-available/serve-cgi-bin.conf<br />
</VirtualHost><br />
</source><br />
<br />
Lubame virtualhosti:<br />
<br />
<source lang="bash"><br />
a2ensite kibana.conf<br />
</source><br />
Kofigureerime Kibana esmaseks töölauaks Logstashi vaate:<br />
<source lang="bash"><br />
cd /var/www/kibana-3.1.0/app/dashboards/<br />
curl -o suricata2.json https://gist.githubusercontent.com/regit/8849943/raw/15f1626090d7bb0d75bca33807cfaa4199b767b4/Suricata%20dashboard<br />
</source><br />
<br />
Laeme apache teenuse uuesti:<br />
<source lang="bash"><br />
service apache2 reload<br />
</source><br />
<br />
Minnes veebilehtsejaga aadressile http://ids.planet.zz:8080/#/dashboard/file/suricata2.json, avaneb meile Kibana liides eelnevalt Suricata jaoks loodud vaatega.<br />
<br />
<br />
<br />
http://blog.oneiroi.co.uk/ids/ips/security/visualization/kibana/logstash/suricata/arm/utilite/suricata-logstash-kibana-utilite-pro-arm/<br />
<br />
https://gist.github.com/regit<br />
<br />
https://home.regit.org/category/securite/<br />
<br />
http://www.appliednsm.com/category/analysis/</div>Aellikuhttps://wiki.itcollege.ee/index.php?title=IDS_Systeemid_-_Labor_1&diff=76487IDS Systeemid - Labor 12014-07-01T15:32:40Z<p>Aelliku: /* Labor 1 */</p>
<hr />
<div>=Labor 1=<br />
<br />
Labori käigus paigaldame Suricata ning testime selle töötamist.<br />
<br />
Seame paika reeglite uuendamise Oinkmasteri abil kasutades Emerging Threats reeglikogumikku ning optimeerime kasutatavat reeglikogumikku.<br />
<br />
Laboris on kasutusel Ubuntu Linux 14.04 LTS. Täpsem info laborite kohta on leitav: [[IDS systeemid - Labori paigaldusjuhend]]<br />
<br />
==Ettevalmistused Suricata paigaldamiseks==<br />
<br />
===Seadistame eth1 võrguliidese valimatusse režiimi===<br />
<br />
1. Avame faili interfaces:<br />
<br />
vim /etc/network/interfaces<br />
<br />
2. Lisame eth1 parameetrid:<br />
<br />
auto eth1<br />
iface eth1 inet manual <br />
up ifconfig $IFACE 0.0.0.0 up<br />
up ip link set $IFACE promisc on<br />
down ip link set $IFACE promisc off <br />
down ifconfig $IFACE down<br />
<br />
3. Salvesta ja välju<br />
<br />
4. Teeme võrgu teenusele taaskäivituse<br />
<br />
service networking restart<br />
<br />
5. Kontrollime võrguliidest.<br />
<br />
ifconfig <br />
<br />
<br />
Käsu väljundis näeme kolmandas reas "UP BROADCAST RUNNING PROMISC":<br />
<br />
eth1 Link encap:Ethernet HWaddr 00:0c:29:32:bf:11<br />
inet6 addr: fe80::20c:29ff:fe32:bf11/64 Scope:Link<br />
UP BROADCAST RUNNING PROMISC MULTICAST MTU:1500 Metric:1 <br />
RX packets:1152 errors:0 dropped:0 overruns:0 frame:0 <br />
TX packets:62 errors:0 dropped:0 overruns:0 carrier:0 <br />
collisions:0 txqueuelen:1000 <br />
RX bytes:94351 (94.3 KB) TX bytes:17248 (17.2 KB)<br />
<br />
<br />
<br />
==Suricata paigaldus==<br />
<br />
1. Uuendame repositooriumi nimekirjad<br />
<br />
apt-get update<br />
<br />
2. Suricata kasutamisel Ubuntu distributsiooni peal on kõige lihtsam kasutada repositooriumi. Kõigepealt paigaldame paki nimega "python-software-properties", kuna selle sees asub programm "add-apt-repository", mida kasutame järgmisena.<br />
<br />
apt-get install python-software-properties<br />
<br />
3. Lisame repositooriumi ja piagaldame Suricata<br />
<br />
add-apt-repository ppa:oisf/suricata-stable<br />
apt-get update<br />
apt-get install suricata<br />
<br />
4. Suricata uuendamiseks saame kasutada<br />
<br />
apt-get update<br />
apt-get upgrade<br />
<br />
5. Eemaldamiseks<br />
<br />
apt-get remove suricata<br />
<br />
==Seadistamine==<br />
<br />
===Suricata parameetrite määramine===<br />
<br />
1. Loome logide kausta<br />
<br />
mkdir /var/log/suricata<br />
<br />
2. Avame Suricata konfiguratsiooni faili:<br />
<br />
vim /etc/suricata/suricata.yaml<br />
<br />
Kirjeldame kasutuses olevad operatsiooni süsteemid otsides "suricata.yaml" failist rida "host-os-policy" (VIM-i puhul saab otsimist teostada sisestades "/" ning seejärel otsitava teksti.)<br />
<br />
host-os-policy:<br />
# Make the default policy windows.<br />
windows: []<br />
bsd: []<br />
bsd-right: []<br />
old-linux: []<br />
linux: [192.168.56.200, 192.168.56.201, 192.168.56.101, 127.0.0.1]<br />
old-solaris: []<br />
solaris: []<br />
hpux10: []<br />
hpux11: []<br />
irix: []<br />
macos: []<br />
vista: []<br />
<br />
Kirjeldame ära aadresside grupid. Selleks otsime üles rea "address-groups"<br />
<br />
address-groups:<br />
HOME_NET: "[192.168.56.0/24]"<br />
EXTERNAL_NET: "!$HOME_NET"<br />
<br />
===Enda kirjutatud reeglid===<br />
<br />
1. Enda kirjutatud reeglite kasutamiseks loome faili local.rules<br />
<br />
touch /etc/suricata/rules/local.rules<br />
<br />
Juhul kui rules kaust puudub, siis loome selle<br />
<br />
mkdir /etc/suricata/rules<br />
<br />
Lisame local.rules faili ühe reegli<br />
<br />
vim /etc/suricata/rules/local.rules<br />
<br />
alert ip any any -> any any (msg:"ICMP detected"; sid:2; rev:1;)<br />
<br />
2. Lisame Suricata kofiguratsiooni kohalike reeglite faili.<br />
<br />
vim /etc/suricata/suricata.yaml<br />
<br />
Otsime üles rea "rule-files" ja lisame sinna alla esimese reana local.rules faili.<br />
<br />
rule-files:<br />
- local.rules<br />
- botcc.rules<br />
- ciarmy.rules<br />
- compromised.rules<br />
- drop.rules<br />
- dshield.rules<br />
- emerging-activex.rules<br />
- emerging-attack_response.rules<br />
- emerging-chat.rules<br />
- emerging-current_events.rules<br />
- emerging-dns.rules<br />
- emerging-dos.rules<br />
- emerging-exploit.rules<br />
- emerging-ftp.rules<br />
...<br />
<br />
3. Reegli testimiseks käivitame Suricata ning seadistame kuulama eth1 võrguliidese peale, mille eelnevalt seadistasime valimatusse režiimi.<br />
<br />
suricata -c /etc/suricata/suricata.yaml -i eth1<br />
<br />
4. Pingime kliendi masinast IDS serverit<br />
<br />
ping ids<br />
<br />
5. Kõrvale avame teise ssh ühenduse ids serverisse ja avame Suricata logi<br />
<br />
tail -f /var/log/suricata/fast.log<br />
<br />
Näeme, et logisse lisanduvad teated reeglile vastavast liiklusest<br />
<br />
05/25/2014-13:03:58.407499 [**] [1:2:1] ICMP detected [**] [Classification: (null)] [Priority: 3] {ICMP} 192.168.56.3:8 -> 192.168.56.2:0<br />
05/25/2014-13:03:58.407526 [**] [1:2:1] ICMP detected [**] [Classification: (null)] [Priority: 3] {ICMP} 192.168.56.2:0 -> 192.168.56.3:0<br />
05/25/2014-13:03:59.407073 [**] [1:2:1] ICMP detected [**] [Classification: (null)] [Priority: 3] {ICMP} 192.168.56.3:8 -> 192.168.56.2:0<br />
05/25/2014-13:03:59.407097 [**] [1:2:1] ICMP detected [**] [Classification: (null)] [Priority: 3] {ICMP} 192.168.56.2:0 -> 192.168.56.3:0<br />
<br />
===Oinkmaster üles seadmine reeglikogumike uuendamiseks===<br />
<br />
1. Paigaldame OinkMasteri<br />
<br />
apt-get install oinkmaster<br />
<br />
On olemas mitmed reeglikogumikke. Praegusel juhul kasutame Emerging Threats (ET) reeglikogumikku.<br />
<br />
Oinkmaster peab teada, kust saab reeglikogumikku alla laadida:<br />
http://rules.emergingthreats.net/open/suricata/emerging.rules.tar.gz<br />
<br />
2. Selle lingi lisamiseks avame oinkmaster.conf faili:<br />
<br />
vim /etc/oinkmaster.conf<br />
<br />
3. Leiame üles rea ET reeglite veebilehele (vim puhul saab otsingut teostada sisestades kõigepealt "/" ning seejärel otsingu stringi):<br />
<br />
/Emerging Threats<br />
<br />
4. Lisame hüperlingi:<br />
<br />
url = http://rules.emergingthreats.net/open/suricata/emerging.rules.tar.gz<br />
<br />
<br />
Pärast muudatuse sisse viimist näeb faili sektsiooni välja selline:<br />
<br />
# Example for rules from the Emerging Threats site (previously known as Bleeding Snort).<br />
# url = http://www.emergingthreats.net/rules/emerging.rules.tar.gz<br />
# Old url:<br />
# url = http://www.bleedingsnort.com/downloads/bleeding.rules.tar.gz<br />
url = http://rules.emergingthreats.net/open/suricata/emerging.rules.tar.gz<br />
<br />
5. Salvesta ja välju failist. Vim puhul, väljuda paoklahviga sisestus režiimist ning seejärel ":wq".<br />
<br />
<br />
6. Uuendame reeglikogumiku:<br />
<br />
cd /etc<br />
oinkmaster -C /etc/oinkmaster.conf -o /etc/suricata/rules<br />
<br />
7. Pärast reeglite alla laadimist ja lahti pakkimist on reeglite kaustast leitavad ka kaks faili nimedega classification. config ja reference.config. Mõlemad on vaja lisada Suricata konfiguratsiooni faili:<br />
<br />
vim /etc/suricata/suricata.yaml<br />
<br />
Konfiguratsioonis otsime üles rea"classification-file" ning muudame ära vajalikud parameetrid. Lõpptulemusena saame: <br />
<br />
classification-file: /etc/suricata/rules/classification.config<br />
reference-config-file: /etc/suricata/rules/reference.config<br />
<br />
8. Testimiseks käivitame suricata:<br />
<br />
suricata -c /etc/suricata/suricata.yaml -i eth1<br />
<br />
9. Käivitamisel näeme, et mitmed reegli failid pole saadaval. Nende mitte kasutamiseks saame suricata.yaml faili rule-files sektsioonis lisada konkreetse reegli faili ette #.<br />
<br />
vim /etc/suricata.yaml<br />
<br />
Lisame # kahe faili ette:<br />
<br />
# - emerging-icmp.rules<br />
# - dns-events.rules<br />
<br />
10. Salvestame ja väljume.<br />
<br />
11. Reeglite hilisemaks uuendamiseks käivitame käsu:<br />
<br />
oinkmaster -C /etc/oinkmaster.conf -o /etc/suricata/rules<br />
<br />
<br />
'''Soovituslik on reegleid tihti uuendada. ET reeglikogumikku uuendatakse korra päevas.'''<br />
<br />
<br />
===Automaatne uuendamine oinkmasteri abil===<br />
<br />
Et muuta reeglite uuendamine lihtsaks ja automaatseks, seadistame croni töö oinkmasteri automaatseks käivitamiseks.<br />
<br />
1. Loome reeglite varundamiseks kausta.<br />
<br />
mkdir /etc/suricata/backup<br />
<br />
2. Lisame uue kasutaja oinkmaster<br />
<br />
useradd oinkmaster<br />
<br />
3. Muudame mõningad failiõigused.<br />
<br />
chown -R oinkmaster /etc/suricata/backup<br />
chown -R oinkmaster /etc/suricata/rules<br />
<br />
4. Testime, kas töötab<br />
<br />
su oinkmaster<br />
oinkmaster -C /etc/oinkmaster.conf -o /etc/suricata/rules -b /etc/suricata/backup 2>&1<br />
<br />
5. Kuna me tahame seda iga päev käivitada, siis lisame crontabi alla vastava töö<br />
<br />
crontab -e -u oinkmaster<br />
<br />
30 00 * * * oinkmaster -o /etc/snort/rules -b /etc/snort/backup 2>&1 >> /dev/null 2>&1<br />
<br />
<br />
===Reeglikogumike optimeerimine===<br />
<br />
Mida rohkem reegleid on kasutuses, seda rohkem ressurssi on vaja pakettide analüüsimiseks.<br />
Seega mõtekas on keelata need reeglid, mis käivad tehnoloogiate või teenuste vastu mida asutuse infrastruktuuris ei esine.<br />
<br />
Kõigepealt keelame mõned üldised grupid. Selleks avame uuesti Suricata konfiguratsiooni faili:<br />
<br />
vim /etc/suricata/suricata.yaml<br />
<br />
Otsime üles rea "rule-files".<br />
<br />
/rule-files<br />
<br />
Reegli grupi keelamiseks on vaja konkreetne reegli faili välja kommenteerida, lisades rea ette #.<br />
<br />
Oletame, et poliitikatega on infrastruktuuris keelatud ActiveX tehnoloogia kasutamine, ei leia kasutust ftp protokoll ning ei ole ka SCADA seadmeid. <br />
<br />
'''Ülesanne'''<br />
Otsida suricata.yaml failist üles sektsioon "rule-files:" ning kommenteerida välja need 3 reeglite faili mis käsitlevad neid teenuseid (Active-X; FTP; SCADA).<br />
<br />
===Üksiku või mitme reegli keelamine===<br />
<br />
Üksiku reegli või mitme reegli lubamiseks/keelamiseks on vaja leida reegli sid. Seda seetõttu, et sid alusel saab reegli keelata oinkmasteri konfiguratsioonis. Sellisel juhul jääb reegel keelatuks ka pärast reeglikogumiku uuendamist.<br />
<br />
Antud näite puhul ütleme, et asutus on paiganud kõigi Linuxi serverite OpenSSL teegid ning seeläbi kõrvaldanud HeartBleed nimelise nõrkuse. Seega kõik reeglid, mis käsitlevad seda nõrkust võib keelata.<br />
<br />
1. Otsime üles kõik HeartBleedi käsitlevad reeglid.<br />
<br />
cd /etc/suricata/rules<br />
grep -R "HeartBleed"<br />
<br />
<br />
Leiame, et HeartBleedi käsitlevaid reegleid on 6. Kuigi väljastati 12 rida on esimesed 6 rida pärit sid-msg.map failist, kus hoitakse teadete ja reegli id vahelisi seoseid seega need võib välja jätta.<br />
<br />
2. Eraldame välja kõigi 6 reegli sid tunnused.<br />
<br />
grep -R "HeartBleed" | grep -P -o "sid\:\d+" | grep -o -P "\d{2,}+" | tr '\n' ',' >> /etc/oinkmaster.conf<br />
<br />
Üleval nähtava käsuga, filtreerime reegli failidest rekursiivselt välja kõik read kus sisaldub sõna HeartBleed, seejärel eraldame nendest ridadest sid tunnused ja puhastame read üleliigsest. Viimaks asendame tr käsu abil reavahetused komaga ja kirjutame tekkinud rea Oinkmasteri konfiguratsiooni faili lõppu.<br />
<br />
<br />
3. Avame Oinkmasteri konfiguratsiooni ja kerime faili lõppu. Eelmise käsuga sinna kirjutatud sid tunnused on meid ootamas.<br />
<br />
vim /etc/oinkmaster.conf<br />
<br />
4. Kirjutame sid tunnuste ette parameetri "disablesid" ning rea lõppu lisame # ja kommentaari. Lõpptulemusena näeb oinkmasteri konfiguratsiooni faili viimane rida välja selline:<br />
<br />
disablesid 2018377, 2018378, 2018382, 2018383, 2018388, 2018389 # Ei ole enam HeartBleedi haavatavust<br />
<br />
5. Salvestame ja väljume.<br />
<br />
6. Kui käivitame Oinkmasteri uuenduse uuesti, siis näeme millised ja kui mitu reeglit on keelatud.<br />
<br />
oinkmaster -C /etc/oinkmaster.conf -o /etc/suricata/rules<br />
<br />
==Kursuse avaleht==<br />
<br />
[[Sissetungi tuvastuse systeemid]]</div>Aellikuhttps://wiki.itcollege.ee/index.php?title=IDS_Systeemid_-_Labor_1&diff=76486IDS Systeemid - Labor 12014-07-01T15:30:48Z<p>Aelliku: /* Enda kirjutatud reeglid */</p>
<hr />
<div>=Labor 1=<br />
<br />
Labori käigus paigaldame Suricata ning testime selle töötamist.<br />
<br />
Seame paika reeglite uuendamise Oinkmasteri abil kasutades Emerging Threats reeglikogumikku ning optimeerime kasutatavat reeglikogumikku.<br />
<br />
==Ettevalmistused Suricata paigaldamiseks==<br />
<br />
===Seadistame eth1 võrguliidese valimatusse režiimi===<br />
<br />
1. Avame faili interfaces:<br />
<br />
vim /etc/network/interfaces<br />
<br />
2. Lisame eth1 parameetrid:<br />
<br />
auto eth1<br />
iface eth1 inet manual <br />
up ifconfig $IFACE 0.0.0.0 up<br />
up ip link set $IFACE promisc on<br />
down ip link set $IFACE promisc off <br />
down ifconfig $IFACE down<br />
<br />
3. Salvesta ja välju<br />
<br />
4. Teeme võrgu teenusele taaskäivituse<br />
<br />
service networking restart<br />
<br />
5. Kontrollime võrguliidest.<br />
<br />
ifconfig <br />
<br />
<br />
Käsu väljundis näeme kolmandas reas "UP BROADCAST RUNNING PROMISC":<br />
<br />
eth1 Link encap:Ethernet HWaddr 00:0c:29:32:bf:11<br />
inet6 addr: fe80::20c:29ff:fe32:bf11/64 Scope:Link<br />
UP BROADCAST RUNNING PROMISC MULTICAST MTU:1500 Metric:1 <br />
RX packets:1152 errors:0 dropped:0 overruns:0 frame:0 <br />
TX packets:62 errors:0 dropped:0 overruns:0 carrier:0 <br />
collisions:0 txqueuelen:1000 <br />
RX bytes:94351 (94.3 KB) TX bytes:17248 (17.2 KB)<br />
<br />
<br />
<br />
==Suricata paigaldus==<br />
<br />
1. Uuendame repositooriumi nimekirjad<br />
<br />
apt-get update<br />
<br />
2. Suricata kasutamisel Ubuntu distributsiooni peal on kõige lihtsam kasutada repositooriumi. Kõigepealt paigaldame paki nimega "python-software-properties", kuna selle sees asub programm "add-apt-repository", mida kasutame järgmisena.<br />
<br />
apt-get install python-software-properties<br />
<br />
3. Lisame repositooriumi ja piagaldame Suricata<br />
<br />
add-apt-repository ppa:oisf/suricata-stable<br />
apt-get update<br />
apt-get install suricata<br />
<br />
4. Suricata uuendamiseks saame kasutada<br />
<br />
apt-get update<br />
apt-get upgrade<br />
<br />
5. Eemaldamiseks<br />
<br />
apt-get remove suricata<br />
<br />
==Seadistamine==<br />
<br />
===Suricata parameetrite määramine===<br />
<br />
1. Loome logide kausta<br />
<br />
mkdir /var/log/suricata<br />
<br />
2. Avame Suricata konfiguratsiooni faili:<br />
<br />
vim /etc/suricata/suricata.yaml<br />
<br />
Kirjeldame kasutuses olevad operatsiooni süsteemid otsides "suricata.yaml" failist rida "host-os-policy" (VIM-i puhul saab otsimist teostada sisestades "/" ning seejärel otsitava teksti.)<br />
<br />
host-os-policy:<br />
# Make the default policy windows.<br />
windows: []<br />
bsd: []<br />
bsd-right: []<br />
old-linux: []<br />
linux: [192.168.56.200, 192.168.56.201, 192.168.56.101, 127.0.0.1]<br />
old-solaris: []<br />
solaris: []<br />
hpux10: []<br />
hpux11: []<br />
irix: []<br />
macos: []<br />
vista: []<br />
<br />
Kirjeldame ära aadresside grupid. Selleks otsime üles rea "address-groups"<br />
<br />
address-groups:<br />
HOME_NET: "[192.168.56.0/24]"<br />
EXTERNAL_NET: "!$HOME_NET"<br />
<br />
===Enda kirjutatud reeglid===<br />
<br />
1. Enda kirjutatud reeglite kasutamiseks loome faili local.rules<br />
<br />
touch /etc/suricata/rules/local.rules<br />
<br />
Juhul kui rules kaust puudub, siis loome selle<br />
<br />
mkdir /etc/suricata/rules<br />
<br />
Lisame local.rules faili ühe reegli<br />
<br />
vim /etc/suricata/rules/local.rules<br />
<br />
alert ip any any -> any any (msg:"ICMP detected"; sid:2; rev:1;)<br />
<br />
2. Lisame Suricata kofiguratsiooni kohalike reeglite faili.<br />
<br />
vim /etc/suricata/suricata.yaml<br />
<br />
Otsime üles rea "rule-files" ja lisame sinna alla esimese reana local.rules faili.<br />
<br />
rule-files:<br />
- local.rules<br />
- botcc.rules<br />
- ciarmy.rules<br />
- compromised.rules<br />
- drop.rules<br />
- dshield.rules<br />
- emerging-activex.rules<br />
- emerging-attack_response.rules<br />
- emerging-chat.rules<br />
- emerging-current_events.rules<br />
- emerging-dns.rules<br />
- emerging-dos.rules<br />
- emerging-exploit.rules<br />
- emerging-ftp.rules<br />
...<br />
<br />
3. Reegli testimiseks käivitame Suricata ning seadistame kuulama eth1 võrguliidese peale, mille eelnevalt seadistasime valimatusse režiimi.<br />
<br />
suricata -c /etc/suricata/suricata.yaml -i eth1<br />
<br />
4. Pingime kliendi masinast IDS serverit<br />
<br />
ping ids<br />
<br />
5. Kõrvale avame teise ssh ühenduse ids serverisse ja avame Suricata logi<br />
<br />
tail -f /var/log/suricata/fast.log<br />
<br />
Näeme, et logisse lisanduvad teated reeglile vastavast liiklusest<br />
<br />
05/25/2014-13:03:58.407499 [**] [1:2:1] ICMP detected [**] [Classification: (null)] [Priority: 3] {ICMP} 192.168.56.3:8 -> 192.168.56.2:0<br />
05/25/2014-13:03:58.407526 [**] [1:2:1] ICMP detected [**] [Classification: (null)] [Priority: 3] {ICMP} 192.168.56.2:0 -> 192.168.56.3:0<br />
05/25/2014-13:03:59.407073 [**] [1:2:1] ICMP detected [**] [Classification: (null)] [Priority: 3] {ICMP} 192.168.56.3:8 -> 192.168.56.2:0<br />
05/25/2014-13:03:59.407097 [**] [1:2:1] ICMP detected [**] [Classification: (null)] [Priority: 3] {ICMP} 192.168.56.2:0 -> 192.168.56.3:0<br />
<br />
===Oinkmaster üles seadmine reeglikogumike uuendamiseks===<br />
<br />
1. Paigaldame OinkMasteri<br />
<br />
apt-get install oinkmaster<br />
<br />
On olemas mitmed reeglikogumikke. Praegusel juhul kasutame Emerging Threats (ET) reeglikogumikku.<br />
<br />
Oinkmaster peab teada, kust saab reeglikogumikku alla laadida:<br />
http://rules.emergingthreats.net/open/suricata/emerging.rules.tar.gz<br />
<br />
2. Selle lingi lisamiseks avame oinkmaster.conf faili:<br />
<br />
vim /etc/oinkmaster.conf<br />
<br />
3. Leiame üles rea ET reeglite veebilehele (vim puhul saab otsingut teostada sisestades kõigepealt "/" ning seejärel otsingu stringi):<br />
<br />
/Emerging Threats<br />
<br />
4. Lisame hüperlingi:<br />
<br />
url = http://rules.emergingthreats.net/open/suricata/emerging.rules.tar.gz<br />
<br />
<br />
Pärast muudatuse sisse viimist näeb faili sektsiooni välja selline:<br />
<br />
# Example for rules from the Emerging Threats site (previously known as Bleeding Snort).<br />
# url = http://www.emergingthreats.net/rules/emerging.rules.tar.gz<br />
# Old url:<br />
# url = http://www.bleedingsnort.com/downloads/bleeding.rules.tar.gz<br />
url = http://rules.emergingthreats.net/open/suricata/emerging.rules.tar.gz<br />
<br />
5. Salvesta ja välju failist. Vim puhul, väljuda paoklahviga sisestus režiimist ning seejärel ":wq".<br />
<br />
<br />
6. Uuendame reeglikogumiku:<br />
<br />
cd /etc<br />
oinkmaster -C /etc/oinkmaster.conf -o /etc/suricata/rules<br />
<br />
7. Pärast reeglite alla laadimist ja lahti pakkimist on reeglite kaustast leitavad ka kaks faili nimedega classification. config ja reference.config. Mõlemad on vaja lisada Suricata konfiguratsiooni faili:<br />
<br />
vim /etc/suricata/suricata.yaml<br />
<br />
Konfiguratsioonis otsime üles rea"classification-file" ning muudame ära vajalikud parameetrid. Lõpptulemusena saame: <br />
<br />
classification-file: /etc/suricata/rules/classification.config<br />
reference-config-file: /etc/suricata/rules/reference.config<br />
<br />
8. Testimiseks käivitame suricata:<br />
<br />
suricata -c /etc/suricata/suricata.yaml -i eth1<br />
<br />
9. Käivitamisel näeme, et mitmed reegli failid pole saadaval. Nende mitte kasutamiseks saame suricata.yaml faili rule-files sektsioonis lisada konkreetse reegli faili ette #.<br />
<br />
vim /etc/suricata.yaml<br />
<br />
Lisame # kahe faili ette:<br />
<br />
# - emerging-icmp.rules<br />
# - dns-events.rules<br />
<br />
10. Salvestame ja väljume.<br />
<br />
11. Reeglite hilisemaks uuendamiseks käivitame käsu:<br />
<br />
oinkmaster -C /etc/oinkmaster.conf -o /etc/suricata/rules<br />
<br />
<br />
'''Soovituslik on reegleid tihti uuendada. ET reeglikogumikku uuendatakse korra päevas.'''<br />
<br />
<br />
===Automaatne uuendamine oinkmasteri abil===<br />
<br />
Et muuta reeglite uuendamine lihtsaks ja automaatseks, seadistame croni töö oinkmasteri automaatseks käivitamiseks.<br />
<br />
1. Loome reeglite varundamiseks kausta.<br />
<br />
mkdir /etc/suricata/backup<br />
<br />
2. Lisame uue kasutaja oinkmaster<br />
<br />
useradd oinkmaster<br />
<br />
3. Muudame mõningad failiõigused.<br />
<br />
chown -R oinkmaster /etc/suricata/backup<br />
chown -R oinkmaster /etc/suricata/rules<br />
<br />
4. Testime, kas töötab<br />
<br />
su oinkmaster<br />
oinkmaster -C /etc/oinkmaster.conf -o /etc/suricata/rules -b /etc/suricata/backup 2>&1<br />
<br />
5. Kuna me tahame seda iga päev käivitada, siis lisame crontabi alla vastava töö<br />
<br />
crontab -e -u oinkmaster<br />
<br />
30 00 * * * oinkmaster -o /etc/snort/rules -b /etc/snort/backup 2>&1 >> /dev/null 2>&1<br />
<br />
<br />
===Reeglikogumike optimeerimine===<br />
<br />
Mida rohkem reegleid on kasutuses, seda rohkem ressurssi on vaja pakettide analüüsimiseks.<br />
Seega mõtekas on keelata need reeglid, mis käivad tehnoloogiate või teenuste vastu mida asutuse infrastruktuuris ei esine.<br />
<br />
Kõigepealt keelame mõned üldised grupid. Selleks avame uuesti Suricata konfiguratsiooni faili:<br />
<br />
vim /etc/suricata/suricata.yaml<br />
<br />
Otsime üles rea "rule-files".<br />
<br />
/rule-files<br />
<br />
Reegli grupi keelamiseks on vaja konkreetne reegli faili välja kommenteerida, lisades rea ette #.<br />
<br />
Oletame, et poliitikatega on infrastruktuuris keelatud ActiveX tehnoloogia kasutamine, ei leia kasutust ftp protokoll ning ei ole ka SCADA seadmeid. <br />
<br />
'''Ülesanne'''<br />
Otsida suricata.yaml failist üles sektsioon "rule-files:" ning kommenteerida välja need 3 reeglite faili mis käsitlevad neid teenuseid (Active-X; FTP; SCADA).<br />
<br />
===Üksiku või mitme reegli keelamine===<br />
<br />
Üksiku reegli või mitme reegli lubamiseks/keelamiseks on vaja leida reegli sid. Seda seetõttu, et sid alusel saab reegli keelata oinkmasteri konfiguratsioonis. Sellisel juhul jääb reegel keelatuks ka pärast reeglikogumiku uuendamist.<br />
<br />
Antud näite puhul ütleme, et asutus on paiganud kõigi Linuxi serverite OpenSSL teegid ning seeläbi kõrvaldanud HeartBleed nimelise nõrkuse. Seega kõik reeglid, mis käsitlevad seda nõrkust võib keelata.<br />
<br />
1. Otsime üles kõik HeartBleedi käsitlevad reeglid.<br />
<br />
cd /etc/suricata/rules<br />
grep -R "HeartBleed"<br />
<br />
<br />
Leiame, et HeartBleedi käsitlevaid reegleid on 6. Kuigi väljastati 12 rida on esimesed 6 rida pärit sid-msg.map failist, kus hoitakse teadete ja reegli id vahelisi seoseid seega need võib välja jätta.<br />
<br />
2. Eraldame välja kõigi 6 reegli sid tunnused.<br />
<br />
grep -R "HeartBleed" | grep -P -o "sid\:\d+" | grep -o -P "\d{2,}+" | tr '\n' ',' >> /etc/oinkmaster.conf<br />
<br />
Üleval nähtava käsuga, filtreerime reegli failidest rekursiivselt välja kõik read kus sisaldub sõna HeartBleed, seejärel eraldame nendest ridadest sid tunnused ja puhastame read üleliigsest. Viimaks asendame tr käsu abil reavahetused komaga ja kirjutame tekkinud rea Oinkmasteri konfiguratsiooni faili lõppu.<br />
<br />
<br />
3. Avame Oinkmasteri konfiguratsiooni ja kerime faili lõppu. Eelmise käsuga sinna kirjutatud sid tunnused on meid ootamas.<br />
<br />
vim /etc/oinkmaster.conf<br />
<br />
4. Kirjutame sid tunnuste ette parameetri "disablesid" ning rea lõppu lisame # ja kommentaari. Lõpptulemusena näeb oinkmasteri konfiguratsiooni faili viimane rida välja selline:<br />
<br />
disablesid 2018377, 2018378, 2018382, 2018383, 2018388, 2018389 # Ei ole enam HeartBleedi haavatavust<br />
<br />
5. Salvestame ja väljume.<br />
<br />
6. Kui käivitame Oinkmasteri uuenduse uuesti, siis näeme millised ja kui mitu reeglit on keelatud.<br />
<br />
oinkmaster -C /etc/oinkmaster.conf -o /etc/suricata/rules<br />
<br />
==Kursuse avaleht==<br />
<br />
[[Sissetungi tuvastuse systeemid]]</div>Aellikuhttps://wiki.itcollege.ee/index.php?title=IDS_Systeemid_-_Labor_1&diff=76485IDS Systeemid - Labor 12014-07-01T15:25:35Z<p>Aelliku: /* Suricata paigaldus */</p>
<hr />
<div>=Labor 1=<br />
<br />
Labori käigus paigaldame Suricata ning testime selle töötamist.<br />
<br />
Seame paika reeglite uuendamise Oinkmasteri abil kasutades Emerging Threats reeglikogumikku ning optimeerime kasutatavat reeglikogumikku.<br />
<br />
==Ettevalmistused Suricata paigaldamiseks==<br />
<br />
===Seadistame eth1 võrguliidese valimatusse režiimi===<br />
<br />
1. Avame faili interfaces:<br />
<br />
vim /etc/network/interfaces<br />
<br />
2. Lisame eth1 parameetrid:<br />
<br />
auto eth1<br />
iface eth1 inet manual <br />
up ifconfig $IFACE 0.0.0.0 up<br />
up ip link set $IFACE promisc on<br />
down ip link set $IFACE promisc off <br />
down ifconfig $IFACE down<br />
<br />
3. Salvesta ja välju<br />
<br />
4. Teeme võrgu teenusele taaskäivituse<br />
<br />
service networking restart<br />
<br />
5. Kontrollime võrguliidest.<br />
<br />
ifconfig <br />
<br />
<br />
Käsu väljundis näeme kolmandas reas "UP BROADCAST RUNNING PROMISC":<br />
<br />
eth1 Link encap:Ethernet HWaddr 00:0c:29:32:bf:11<br />
inet6 addr: fe80::20c:29ff:fe32:bf11/64 Scope:Link<br />
UP BROADCAST RUNNING PROMISC MULTICAST MTU:1500 Metric:1 <br />
RX packets:1152 errors:0 dropped:0 overruns:0 frame:0 <br />
TX packets:62 errors:0 dropped:0 overruns:0 carrier:0 <br />
collisions:0 txqueuelen:1000 <br />
RX bytes:94351 (94.3 KB) TX bytes:17248 (17.2 KB)<br />
<br />
<br />
<br />
==Suricata paigaldus==<br />
<br />
1. Uuendame repositooriumi nimekirjad<br />
<br />
apt-get update<br />
<br />
2. Suricata kasutamisel Ubuntu distributsiooni peal on kõige lihtsam kasutada repositooriumi. Kõigepealt paigaldame paki nimega "python-software-properties", kuna selle sees asub programm "add-apt-repository", mida kasutame järgmisena.<br />
<br />
apt-get install python-software-properties<br />
<br />
3. Lisame repositooriumi ja piagaldame Suricata<br />
<br />
add-apt-repository ppa:oisf/suricata-stable<br />
apt-get update<br />
apt-get install suricata<br />
<br />
4. Suricata uuendamiseks saame kasutada<br />
<br />
apt-get update<br />
apt-get upgrade<br />
<br />
5. Eemaldamiseks<br />
<br />
apt-get remove suricata<br />
<br />
==Seadistamine==<br />
<br />
===Suricata parameetrite määramine===<br />
<br />
1. Loome logide kausta<br />
<br />
mkdir /var/log/suricata<br />
<br />
2. Avame Suricata konfiguratsiooni faili:<br />
<br />
vim /etc/suricata/suricata.yaml<br />
<br />
Kirjeldame kasutuses olevad operatsiooni süsteemid otsides "suricata.yaml" failist rida "host-os-policy" (VIM-i puhul saab otsimist teostada sisestades "/" ning seejärel otsitava teksti.)<br />
<br />
host-os-policy:<br />
# Make the default policy windows.<br />
windows: []<br />
bsd: []<br />
bsd-right: []<br />
old-linux: []<br />
linux: [192.168.56.200, 192.168.56.201, 192.168.56.101, 127.0.0.1]<br />
old-solaris: []<br />
solaris: []<br />
hpux10: []<br />
hpux11: []<br />
irix: []<br />
macos: []<br />
vista: []<br />
<br />
Kirjeldame ära aadresside grupid. Selleks otsime üles rea "address-groups"<br />
<br />
address-groups:<br />
HOME_NET: "[192.168.56.0/24]"<br />
EXTERNAL_NET: "!$HOME_NET"<br />
<br />
===Enda kirjutatud reeglid===<br />
<br />
1. Enda kirjutatud reeglite kasutamiseks loome faili local.rules<br />
<br />
touch /etc/suricata/rules/local.rules<br />
<br />
Lisame local.rules faili ühe reegli<br />
<br />
vim /etc/suricata/rules/local.rules<br />
<br />
alert ip any any -> any any (msg:"ICMP detected"; sid:2; rev:1;)<br />
<br />
2. Lisame Suricata kofiguratsiooni kohalike reeglite faili.<br />
<br />
vim /etc/suricata/suricata.yaml<br />
<br />
Otsime üles rea "rule-files" ja lisame sinna alla esimese reana local.rules faili.<br />
<br />
rule-files:<br />
- local.rules<br />
- botcc.rules<br />
- ciarmy.rules<br />
- compromised.rules<br />
- drop.rules<br />
- dshield.rules<br />
- emerging-activex.rules<br />
- emerging-attack_response.rules<br />
- emerging-chat.rules<br />
- emerging-current_events.rules<br />
- emerging-dns.rules<br />
- emerging-dos.rules<br />
- emerging-exploit.rules<br />
- emerging-ftp.rules<br />
...<br />
<br />
3. Reegli testimiseks käivitame Suricata ning seadistame kuulama eth1 võrguliidese peale, mille eelnevalt seadistasime valimatusse režiimi.<br />
<br />
suricata -c /etc/suricata/suricata.yaml -i eth1<br />
<br />
4. Pingime kliendi masinast IDS serverit<br />
<br />
ping ids<br />
<br />
5. Kõrvale avame teise ssh ühenduse ids serverisse ja avame Suricata logi<br />
<br />
tail -f /var/log/suricata/fast.log<br />
<br />
Näeme, et logisse lisanduvad teated reeglile vastavast liiklusest<br />
<br />
05/25/2014-13:03:58.407499 [**] [1:2:1] ICMP detected [**] [Classification: (null)] [Priority: 3] {ICMP} 192.168.56.3:8 -> 192.168.56.2:0<br />
05/25/2014-13:03:58.407526 [**] [1:2:1] ICMP detected [**] [Classification: (null)] [Priority: 3] {ICMP} 192.168.56.2:0 -> 192.168.56.3:0<br />
05/25/2014-13:03:59.407073 [**] [1:2:1] ICMP detected [**] [Classification: (null)] [Priority: 3] {ICMP} 192.168.56.3:8 -> 192.168.56.2:0<br />
05/25/2014-13:03:59.407097 [**] [1:2:1] ICMP detected [**] [Classification: (null)] [Priority: 3] {ICMP} 192.168.56.2:0 -> 192.168.56.3:0<br />
<br />
<br />
===Oinkmaster üles seadmine reeglikogumike uuendamiseks===<br />
<br />
1. Paigaldame OinkMasteri<br />
<br />
apt-get install oinkmaster<br />
<br />
On olemas mitmed reeglikogumikke. Praegusel juhul kasutame Emerging Threats (ET) reeglikogumikku.<br />
<br />
Oinkmaster peab teada, kust saab reeglikogumikku alla laadida:<br />
http://rules.emergingthreats.net/open/suricata/emerging.rules.tar.gz<br />
<br />
2. Selle lingi lisamiseks avame oinkmaster.conf faili:<br />
<br />
vim /etc/oinkmaster.conf<br />
<br />
3. Leiame üles rea ET reeglite veebilehele (vim puhul saab otsingut teostada sisestades kõigepealt "/" ning seejärel otsingu stringi):<br />
<br />
/Emerging Threats<br />
<br />
4. Lisame hüperlingi:<br />
<br />
url = http://rules.emergingthreats.net/open/suricata/emerging.rules.tar.gz<br />
<br />
<br />
Pärast muudatuse sisse viimist näeb faili sektsiooni välja selline:<br />
<br />
# Example for rules from the Emerging Threats site (previously known as Bleeding Snort).<br />
# url = http://www.emergingthreats.net/rules/emerging.rules.tar.gz<br />
# Old url:<br />
# url = http://www.bleedingsnort.com/downloads/bleeding.rules.tar.gz<br />
url = http://rules.emergingthreats.net/open/suricata/emerging.rules.tar.gz<br />
<br />
5. Salvesta ja välju failist. Vim puhul, väljuda paoklahviga sisestus režiimist ning seejärel ":wq".<br />
<br />
<br />
6. Uuendame reeglikogumiku:<br />
<br />
cd /etc<br />
oinkmaster -C /etc/oinkmaster.conf -o /etc/suricata/rules<br />
<br />
7. Pärast reeglite alla laadimist ja lahti pakkimist on reeglite kaustast leitavad ka kaks faili nimedega classification. config ja reference.config. Mõlemad on vaja lisada Suricata konfiguratsiooni faili:<br />
<br />
vim /etc/suricata/suricata.yaml<br />
<br />
Konfiguratsioonis otsime üles rea"classification-file" ning muudame ära vajalikud parameetrid. Lõpptulemusena saame: <br />
<br />
classification-file: /etc/suricata/rules/classification.config<br />
reference-config-file: /etc/suricata/rules/reference.config<br />
<br />
8. Testimiseks käivitame suricata:<br />
<br />
suricata -c /etc/suricata/suricata.yaml -i eth1<br />
<br />
9. Käivitamisel näeme, et mitmed reegli failid pole saadaval. Nende mitte kasutamiseks saame suricata.yaml faili rule-files sektsioonis lisada konkreetse reegli faili ette #.<br />
<br />
vim /etc/suricata.yaml<br />
<br />
Lisame # kahe faili ette:<br />
<br />
# - emerging-icmp.rules<br />
# - dns-events.rules<br />
<br />
10. Salvestame ja väljume.<br />
<br />
11. Reeglite hilisemaks uuendamiseks käivitame käsu:<br />
<br />
oinkmaster -C /etc/oinkmaster.conf -o /etc/suricata/rules<br />
<br />
<br />
'''Soovituslik on reegleid tihti uuendada. ET reeglikogumikku uuendatakse korra päevas.'''<br />
<br />
<br />
===Automaatne uuendamine oinkmasteri abil===<br />
<br />
Et muuta reeglite uuendamine lihtsaks ja automaatseks, seadistame croni töö oinkmasteri automaatseks käivitamiseks.<br />
<br />
1. Loome reeglite varundamiseks kausta.<br />
<br />
mkdir /etc/suricata/backup<br />
<br />
2. Lisame uue kasutaja oinkmaster<br />
<br />
useradd oinkmaster<br />
<br />
3. Muudame mõningad failiõigused.<br />
<br />
chown -R oinkmaster /etc/suricata/backup<br />
chown -R oinkmaster /etc/suricata/rules<br />
<br />
4. Testime, kas töötab<br />
<br />
su oinkmaster<br />
oinkmaster -C /etc/oinkmaster.conf -o /etc/suricata/rules -b /etc/suricata/backup 2>&1<br />
<br />
5. Kuna me tahame seda iga päev käivitada, siis lisame crontabi alla vastava töö<br />
<br />
crontab -e -u oinkmaster<br />
<br />
30 00 * * * oinkmaster -o /etc/snort/rules -b /etc/snort/backup 2>&1 >> /dev/null 2>&1<br />
<br />
<br />
===Reeglikogumike optimeerimine===<br />
<br />
Mida rohkem reegleid on kasutuses, seda rohkem ressurssi on vaja pakettide analüüsimiseks.<br />
Seega mõtekas on keelata need reeglid, mis käivad tehnoloogiate või teenuste vastu mida asutuse infrastruktuuris ei esine.<br />
<br />
Kõigepealt keelame mõned üldised grupid. Selleks avame uuesti Suricata konfiguratsiooni faili:<br />
<br />
vim /etc/suricata/suricata.yaml<br />
<br />
Otsime üles rea "rule-files".<br />
<br />
/rule-files<br />
<br />
Reegli grupi keelamiseks on vaja konkreetne reegli faili välja kommenteerida, lisades rea ette #.<br />
<br />
Oletame, et poliitikatega on infrastruktuuris keelatud ActiveX tehnoloogia kasutamine, ei leia kasutust ftp protokoll ning ei ole ka SCADA seadmeid. <br />
<br />
'''Ülesanne'''<br />
Otsida suricata.yaml failist üles sektsioon "rule-files:" ning kommenteerida välja need 3 reeglite faili mis käsitlevad neid teenuseid (Active-X; FTP; SCADA).<br />
<br />
===Üksiku või mitme reegli keelamine===<br />
<br />
Üksiku reegli või mitme reegli lubamiseks/keelamiseks on vaja leida reegli sid. Seda seetõttu, et sid alusel saab reegli keelata oinkmasteri konfiguratsioonis. Sellisel juhul jääb reegel keelatuks ka pärast reeglikogumiku uuendamist.<br />
<br />
Antud näite puhul ütleme, et asutus on paiganud kõigi Linuxi serverite OpenSSL teegid ning seeläbi kõrvaldanud HeartBleed nimelise nõrkuse. Seega kõik reeglid, mis käsitlevad seda nõrkust võib keelata.<br />
<br />
1. Otsime üles kõik HeartBleedi käsitlevad reeglid.<br />
<br />
cd /etc/suricata/rules<br />
grep -R "HeartBleed"<br />
<br />
<br />
Leiame, et HeartBleedi käsitlevaid reegleid on 6. Kuigi väljastati 12 rida on esimesed 6 rida pärit sid-msg.map failist, kus hoitakse teadete ja reegli id vahelisi seoseid seega need võib välja jätta.<br />
<br />
2. Eraldame välja kõigi 6 reegli sid tunnused.<br />
<br />
grep -R "HeartBleed" | grep -P -o "sid\:\d+" | grep -o -P "\d{2,}+" | tr '\n' ',' >> /etc/oinkmaster.conf<br />
<br />
Üleval nähtava käsuga, filtreerime reegli failidest rekursiivselt välja kõik read kus sisaldub sõna HeartBleed, seejärel eraldame nendest ridadest sid tunnused ja puhastame read üleliigsest. Viimaks asendame tr käsu abil reavahetused komaga ja kirjutame tekkinud rea Oinkmasteri konfiguratsiooni faili lõppu.<br />
<br />
<br />
3. Avame Oinkmasteri konfiguratsiooni ja kerime faili lõppu. Eelmise käsuga sinna kirjutatud sid tunnused on meid ootamas.<br />
<br />
vim /etc/oinkmaster.conf<br />
<br />
4. Kirjutame sid tunnuste ette parameetri "disablesid" ning rea lõppu lisame # ja kommentaari. Lõpptulemusena näeb oinkmasteri konfiguratsiooni faili viimane rida välja selline:<br />
<br />
disablesid 2018377, 2018378, 2018382, 2018383, 2018388, 2018389 # Ei ole enam HeartBleedi haavatavust<br />
<br />
5. Salvestame ja väljume.<br />
<br />
6. Kui käivitame Oinkmasteri uuenduse uuesti, siis näeme millised ja kui mitu reeglit on keelatud.<br />
<br />
oinkmaster -C /etc/oinkmaster.conf -o /etc/suricata/rules<br />
<br />
==Kursuse avaleht==<br />
<br />
[[Sissetungi tuvastuse systeemid]]</div>Aellikuhttps://wiki.itcollege.ee/index.php?title=IDS_systeemid_-_Hindamisjuhend&diff=76394IDS systeemid - Hindamisjuhend2014-06-10T08:35:41Z<p>Aelliku: </p>
<hr />
<div>=Hindamisjuhend=<br />
<br />
Teoreetiliste materjalide lõpus olevad küsimused on kordamiseks. Nende abil saad veenduda oma teadmiste tasemes.<br />
Kui oled võimeline kõigile küsimustele vastama, siis võid asuda praktiliste ülesannete kallale.<br />
<br />
==Laborid==<br />
<br />
===Labor 1===<br />
Järgnevate labori osade täitmine annab igaüks 1 punkti:<br />
* Suricata paigaldamine. Seal hulgas ka parameetrite seadistamine, eeltöö ja enda reegli kasutamine.<br />
* Oinkmasteri paigaldus ja croni töö seadistamine automaatseks reeglikogumike uuendamiseks.<br />
* Reeglikogumike optimiseerimine.<br />
<br />
===Labor 2===<br />
* Enda reegli kirjutamine ja selle testimine. - 2 punkti<br />
* Logstash, elasticsearch ja kibana koos IDS süsteemidele mõeldud konsooliga. - 1 punkt<br />
<br />
==Kursusele hinnangu andmine==<br />
Kursuse võib lugeda läbituks, kui oled teeninud minimaalselt 4 punkti. <br />
Seal hulgas on Suricata paigaldus ja enda reegli kirjutamine kohustuslik.<br />
<br />
==Kursuse avaleht==<br />
<br />
[[Sissetungi tuvastuse systeemid]]</div>Aellikuhttps://wiki.itcollege.ee/index.php?title=IDS_systeemid_-_Hindamisjuhend&diff=76393IDS systeemid - Hindamisjuhend2014-06-10T08:34:54Z<p>Aelliku: Created page with "=Hindamisjuhend= Teoreetiliste materjalide lõpus olevad küsimused on kordamiseks. Nende abil saad veenduda oma teadmiste tasemes. Kui oled võimeline kõigile küsimustele vas…"</p>
<hr />
<div>=Hindamisjuhend=<br />
<br />
Teoreetiliste materjalide lõpus olevad küsimused on kordamiseks. Nende abil saad veenduda oma teadmiste tasemes.<br />
Kui oled võimeline kõigile küsimustele vastama, siis võid asuda praktiliste ülesannete kallale.<br />
<br />
==Laborid==<br />
<br />
===Labor 1===<br />
Järgnevate labori osade täitmine annab igaüks 1 punkti:<br />
* Suricata paigaldamine. Seal hulgas ka parameetrite seadistamine, eeltöö ja enda reegli kasutamine.<br />
* Oinkmasteri paigaldus ja croni töö seadistamine automaatseks reeglikogumike uuendamiseks.<br />
* Reeglikogumike optimiseerimine.<br />
<br />
===Labor 2===<br />
* Enda reegli kirjutamine ja selle testimine. - 2 punkti<br />
* Logstash, elasticsearch ja kibana koos IDS süsteemidele mõeldud konsooliga. - 1 punkt<br />
<br />
==Kursusele hinnangu andmine==<br />
Kursuse võib lugeda läbituks, kui oled teeninud minimaalselt 4 punkti. <br />
Seal hulgas on Suricata paigaldus ja enda reegli kirjutamine kohustuslik.</div>Aellikuhttps://wiki.itcollege.ee/index.php?title=Sissetungi_tuvastuse_systeemid&diff=76392Sissetungi tuvastuse systeemid2014-06-10T08:21:23Z<p>Aelliku: /* Juhendid */</p>
<hr />
<div>=Üldinfo=<br />
'''Kuna antud kursus on hetkel piloteerimisel, siis leitud vigadest ja/või soovitustest palun teada anda e-posti aadressil andres.elliku@itcollege.ee'''<br />
<br />
Hindamisviis: Arvestus<br />
<br />
==Juhendid==<br />
Õpijuhend: [[IDS systeemid - Opijuhis]]<br />
<br />
Labori paigaldusjuhend: [[IDS systeemid - Labori paigaldusjuhend]]<br />
<br />
Hindamisjuhend: [[IDS systeemid - Hindamisjuhend]]<br />
<br />
'''Rangelt soovituslik aine IT Kolledži tudengitele:''' Operatsioonisüsteemide administreerimine ja sidumine (I233)<br />
<br />
==Õppejõud==<br />
<br />
=Eesmärk ja sisu=<br />
Tutvustada sissetungi tuvastuse süsteemide (edaspidi IDS) põhimõisteid. Anda oskused nende paigaldamiseks ja haldamiseks. Kursus sisaldab teoreetilisi materjale alus- ja põhimõistete tutvustamiseks, laboratoorseid töid, mille käigus paigaldatakse IDS lahendus, teostatakse põhilisi IDS süsteemi haldustoiminguid ning simuleeritakse võrgurünnete tuvastamist.<br />
<br />
'''Suurem osa ajast ja vaevast läheb praktiliste ülesannete peale'''<br />
<br />
=Loengud=<br />
<br />
[[IDS systeemid - Sissejuhatus]]<br />
<br />
[[IDS systeemid - Reeglid ja reeglikogumikud]]<br />
<br />
=Praktilised ülesanded=<br />
<br />
[[IDS Systeemid - Labor 1]]<br />
<br />
[[IDS Systeemid - Labor 2]]<br />
<br />
=Abimaterjal=<br />
*[[https://redmine.openinfosecfoundation.org/projects/suricata/wiki/Suricata_Installation Suricata installatsiooni juhend]]<br />
*[[https://redmine.openinfosecfoundation.org/projects/suricata/wiki/Suricata_User_Guide Suricata kasutusjuhend]]</div>Aellikuhttps://wiki.itcollege.ee/index.php?title=IDS_systeemid_-_Reeglid_ja_reeglikogumikud&diff=76390IDS systeemid - Reeglid ja reeglikogumikud2014-06-06T09:02:01Z<p>Aelliku: </p>
<hr />
<div>=Reeglid ja reeglikogumikud=<br />
<br />
Reeglid mängivad väga suurt rolli Suricata puhul. Enamustel juhtudel kasutatakse juba saada olevaid tasuta või tasulisi reeglikogumikke. Kõige populaarsemad on Emerging Threats, Emerging Threats Pro ja Source fire poolt välja antav VRT.<br />
Kõigepealt käsitleme reeglite struktuuri ja nende loomist ning seejärel vaatame üle reeglikogumike lisamise ja haldamise.<br />
<br />
==Reeglid==<br />
Reeglid koosnevad kolmest komponendist:<br />
Tegevus, päis, valikud ehk action, header, rule-options.<br />
<br />
<br />
[[File: Suricata_Intro_sig.png]]<br />
<br />
Joonis 1. [[https://redmine.openinfosecfoundation.org/projects/suricata/wiki/Suricata_Rules Näide Suricata reeglist]]<br />
<br />
<br />
===Tegevus ehk action===<br />
Paketi reeglile vastamisel teostatakse selle komponendi alusel üks neljast tegevusest:<br />
*Pass - Kui pakett vastab reeglile, siis paketi kontrollimine ülejäänud reeglite vastu jäetakse vahele.<br />
*Drop - Oluline ainult IPS režiimid puhul. Reeglile vastamisel ei saadeta paketti edasi ning genereeritakse teade Suricata logisse.<br />
*Reject - Reeglile vastamisel lükatakse pakett tagasi. Nii saatjale kui saadetavale saadetakse TCP ühenduse puhul Reset pakett ning muude protokollide puhul ICMP veateade. Genereeritakse ka teade ning IPS puhul lisandub Drop tegevuse täitmine.<br />
*Alert - Reeglile vastamisel genereeritakse teade.<br />
<br />
<br />
===Päis ehk header===<br />
<br />
'''Protokoll'''<br />
<br />
Tegevusele järgneva võtmesõnaga tähistatakse, millist protokolli antud reegel käsitleb. Ülevalpoole olevas näites on selleks TCP. Valida on 4 valiku vahel: tcp, udp, icm, ip. Ip tähistab ükskõik millist liiklust. Suricata puhul on lisanduvateks võtmesõnadeks: http, tls, ftp, smb ja dns.<br />
Kui signatuuris on defineeritud kindel protokoll siis pakett saab reeglile vastata ainult juhul kui kasutatav protokoll ka vastab.<br />
<br />
<br />
'''Allikas ja sihtpunkt'''<br />
<br />
Mõlema puhul saab määrata võrgu aadressid. Kasutada võib nii IPv4 kui ka IPv6.<br />
Kasutatavad lisa parameetrid on “!” ehk siis not. Näiteks “! 127.0.0.1” tähistab, et kõik aadressid peale selle.<br />
Nurksulgudega (“[ ]”) saab aadresse grupeerida. Näiteks: ! [1.1.1.1, 1.1.1.2] tähistab, et kõik võrguaadressid peale nende kahe. <br />
<br />
Konfiguratsioonis saab seadistada ka lisa parameetreid nagu $HOME_NET ehk alamvõrgud mis on sisevõrgus kasutusel ja $EXTERNAL_NET ehk väline võrk. $EXTERNAL_NET puhul on populaarne seadistada väärtuseks !$HOME_NET ehk siis kõik aadressid peale sisevõrgu aadresside(Mitte kasutada $EXTERNAL_NET parameetrit kui $HOME_NET väärtuseks on “any”).<br />
<br />
Mõningad näited [[https://redmine.openinfosecfoundation.org/projects/suricata/wiki/Suricata_Rules Suricata dokumentatsioonist]]:<br />
<br />
! 1.1.1.1 (Every IP address but 1.1.1.1)<br />
![1.1.1.1, 1.1.1.2] (Every IP address but 1.1.1.1 and 1.1.1.2) <br />
$HOME_NET (Your setting of HOME_NET in yaml)<br />
[$EXTERNAL_NET, !$HOME_NET] (EXTERNAL_NET and not HOME_NET)<br />
[10.0.0.0/24, !10.0.0.5] (10.0.0.0/24 except for 10.0.0.5) <br />
[…..,[....]]<br />
[…. ,![.....]]<br />
<br />
<br />
Allika ja sihtpunkti aadresside juurde saab defineerida ka pordi. Tüüpiliselt on allika port op.süsteemi poolt automaatselt valitud ja seetõttu on tavaliselt reeglites seatud allika pordiks “any”. Seda määrab ka kasutatav protokoll. Samamoodi nagu aadresside puhul on ka portide puhul võimalik kasutada lisa parameetreid:<br />
<br />
“!” - eitus/erand<br />
<br />
“:” - vahemik<br />
<br />
“[ ]” - millised osad kuuluvad kokku<br />
<br />
“,” - eraldamiseks<br />
<br />
<br />
Näited:<br />
[80, 81, 82] (port 80, 81 and 82)<br />
[80: 82] (Range from 80 till 82)<br />
[1024: ] (From 1024 till the highest port-number)<br />
!80 (Every port but 80)<br />
[80:100,!99] (Range from 80 till 100 but 99 excluded)<br />
[1:80,![2,4]]<br />
[….[.....]]<br />
<br />
<br />
Kõigi reeglite puhul määratakse kõige pealt allika aadress ja port, seejärel pannakse paika liikluse suund ning suunale järgneb sihtpunkt.<br />
Suuna saab määrata kahel viisil: <br />
<br />
“->” - tähistab ühe suunalist liiklust.<br />
Näiteks: “allikas -> sihtpunkt” mida illustreerib reegel “alert tcp 1.2.3.4 1024 -> 5.6.7.8 80”<br />
Reegel vastab juhul kui liiklus on aadressilt 1.2.3.4 aadressile 5.6.7.8.<br />
<br />
“<>” - reegel kehtib mõlema suunalise liikluse korral.<br />
<br />
<br />
===Valikud===<br />
<br />
Valikutel on kindel Unixi maailmast tuttav "võti: väärtus" formaat:<br />
name: settings;<br />
<br />
Mõnel juhul järgneb nimele kohe semikoolon. Näiteks parameeter “nocase;”<br />
<br />
On olemas spetsiifilised sätted metaandmete, päiste, paketi sisu ning paketivoogude kohta:<br />
<br />
[[https://redmine.openinfosecfoundation.org/projects/suricata/wiki/Meta-settings Metaandmete sätted]]<br />
<br />
[[https://redmine.openinfosecfoundation.org/projects/suricata/wiki/Payload_keywords Lasti võtmesõnad]]<br />
<br />
[[https://redmine.openinfosecfoundation.org/projects/suricata/wiki/HTTP-keywords HTTP võtmesõnad]]<br />
<br />
[[https://redmine.openinfosecfoundation.org/projects/suricata/wiki/DNS-keywords DNS võtmesõnad]]<br />
<br />
[[https://redmine.openinfosecfoundation.org/projects/suricata/wiki/Flow-keywords Flow võtmesõnad]]<br />
<br />
[[https://redmine.openinfosecfoundation.org/projects/suricata/wiki/IPReputationRules IP Reputatsiooni reeglid]]<br />
<br />
<br />
==Reegli ehitamine==<br />
Tundes neid põhilisi komponente saame ehitada oma reegli. Oletame, et me tahame ehitada reegli mis genereeriks teate teatud veebilehe poole pöördumisel välisvõrgust. Veebiserver ise asub sisevõrgus.<br />
<br />
Sellisel juhul määrame esmalt tegevuse tüübiks teade. Protokolliks määrame http. Allikaks on $EXTERNAL_NET ning sihtpunktiks on $HOME_NET ja port on 80. Järgnevad reegli valikud mis ümbritsetakse sulgudega. <br />
<br />
Esmalt määrame teate:<br />
msg:“Otsitud liiklus”;<br />
Kui pakett vastab reeglile siis teade kuvatakse koos muude andmetega<br />
Suricata logis.<br />
<br />
Järgnevalt määrame paketivoo:<br />
flow:established,to_server;<br />
Sellega määrame, et paketivoog on alustatud ning suunaga serveri poole<br />
<br />
<br />
Määrame http päringust otsitava stringi(käesoleval juhul on veebilehe nimi “secret_page.html”):<br />
content:”/secret_page.html”; http_uri;<br />
Sellega määrame, et otsitav string on secret_page.html ning see peab sisalduma URIs.<br />
<br />
<br />
Siia juurde määrame ka tüübi ning viite:<br />
classtype:trojan-activity;<br />
reference: url, www.example.com/viide;<br />
Tüüpe on palju erinevaid ja võib ise kirjutatud reegli puhul olla enda valitud.<br />
<br />
Viide on tavaliselt hüperlink mõne antud nõrkuse kirjeldust sisaldavale veebisaidile.<br />
Suricata puhul on selleks tihtipeale: http://doc.emergingthreats.net/<br />
<br />
<br />
Lõpuks määrame ka reegli id ja versiooni numbrid:<br />
sid:123;<br />
rev:1;<br />
Tavaks on, et id on enne versiooni ja nad on kaks viimast parameetrit.<br />
ID nagu ikka on unikaalne numbriline väärtus.<br />
Reegli muutmisel versiooni numbrit suurendatakse.<br />
<br />
Nüüd on komponendid paigas ja aeg reegel kokku panna:<br />
<br />
alert http $EXTERNAL_NET any -> $HOME_NET 80 (msg:“Otsitud liiklus”; flow:established,to_server; content:”/secret_page.html”; <br />
http_uri; classtype:trojan-activity; reference: url, www.example.com/viide;<br />
sid:123; rev:1;)<br />
<br />
==Reeglikogumikud==<br />
<br />
Signatuuri põhised IDS lahendused sarnanevad antiviirustele selles, et ka nemad suudavad tuvastada ainult asju mille jaoks neil on reegel olemas. Suricata ja Snordi mõlema puhul on avalikult kätte saadavad reeglite kogumikud, mida täiendatakse pidevalt.<br />
Suricata puhul on selleks [[http://www.emergingthreats.net/ Emerging Threats]] (edaspidi ET) ning Snordi puhul [[http://www.snort.org/snort-rules VRT]] reeglid.<br />
<br />
ET kogumikku uuendatakse kord päevas ning VRT kogumikku kuni mitu korda nädalas.<br />
Kogumikud on siiski mõlema toote puhul kasutatavad, tänu mõlema lahenduse sarnasusele reeglite aspektis. <br />
Mõlemast on saadaval ka tasulised versioonid ning tasulisi versioone leidub turul teisigi. Tasuliste reeglikogumike eelisteks on tavaliselt kas suurem reeglite arv või lühem uuendamise intervall.<br />
<br />
Reeglikogumikke on võimalik lisada käsitsi, kuid palju optimaalsem ja mugavam lahendus on kasutada mõnda selleks mõeldud tarkvara. Populaarseimad on [[https://code.google.com/p/pulledpork/ PulledPork]] ja [[http://oinkmaster.sourceforge.net/ Oinkmaster]]. <br />
<br />
Antud kursuse praktiliste ülesannete raames kasutame Emerging Threats reeglikogumikku ja halduseks Oinkmasterit.<br />
<br />
==Küsimused==<br />
#Mis on reegli kolm komponenti?<br />
#Milline on valikute puhul kasutatav formaat?<br />
#Mis on reegli võimalikud tegevused?<br />
#Miks kasutada reeglikogumikke?<br />
#Millal muudetakse reegli versiooni numbrit?<br />
<br />
==Kursuse avaleht==<br />
<br />
[[Sissetungi tuvastuse systeemid]]</div>Aellikuhttps://wiki.itcollege.ee/index.php?title=IDS_systeemid_-_Sissejuhatus&diff=76389IDS systeemid - Sissejuhatus2014-06-06T07:07:23Z<p>Aelliku: </p>
<hr />
<div>=Sissejuhatus=<br />
<br />
IDS ehk sissetungi tuvastuse süsteem on tehnoloogiline lahendus arvutivõrgu monitoorimiseks infoturbe tagamise eesmärgil.<br />
IDS lahendusi võib jagada kahte suurde gruppi:<br />
NIDS - Network intrusion detection system ehk võrgu põhine sissetungi tuvastuse süsteem<br />
HIDS - Host based intrusion detection system ehk seadme põhine sissetungi tuvastuse süsteem<br />
<br />
==HIDS==<br />
HIDS lahendused on vähem levinud kuid viimasel ajal on mõned antiviiruse tarkvarad hakanud seda ühe komponendinda kasutama. Avatud lähtekoodiga lahendustest on üks levinumaid OSSEC.<br />
HIDS lahenduste eesmärgiks on teatud kriitiliste süsteemi osade jälgimine. Nende hulka kuuluvad näiteks “RunOnce” registrivõtmed Windowsi puhul ja erinevad ajutiste failide kaustad ehk populaarsed kohad kas pahavara failide hoidmiseks või püsivuse tagamiseks. OSSEC puhul on võimalik defineerida poliitikad, et milliseid faile, kaustu ja registri võtmeid jälgida <br />
Käesoleva kursuse raamidest jääb nende lahenduste lähem tutvustus välja.<br />
<br />
==NIDS==<br />
Tüüpiliselt mõeldakse tavakasutuses IDS lahenduste all just NIDS tüüpi lahendusi. Populaarsemate näidetena võib välja tuua Snort, Suricata ja Bro. Kursuse raames käib teoreetiline ja praktiline materjal Suricata kohta ning lihtsuse mõttes on edaspidi väljendi IDS all mõeldud just Suricatat ehk NIDS tüüpi lahendust.<br />
<br />
IDS jälgib võrgusegmenti. Selleks suunatakse koopia võrguliiklusest mille iga paketti IDS analüüsib paketi haaval reeglite kogumiku vastu. Leides vaste väljastatakse selle kohta vastav teade.<br />
<br />
IPS ehk intrusion prevention system(sissetungi takistuse režiim) on spetsiaalne konfiguratsioon IDS puhul, kus võrguliiklust mitte ei kopeerita vaid suunatakse läbi lahenduse ehk ta täidab võrgulüüsi rolli. Nagu ka IDS puhul analüüsitakse kõigi pakettide päist ja sisu. Erinevuseks IDS tekib võimalus paketi vahelt ära korjata (drop packet). Tüüpiliselt on juurutatud kommutaatori või ruuterina, vahest ka tarkvara moodulina serveris.<br />
<br />
Kuigi puhas IDS lahendus ei suuda automaatselt võrku kaitsta on IDS lahendustel vahest võimekus suhelda tulemüüriga ja luua seal vajalikke reegleid liikluse piiramiseks.<br />
<br />
== Miks IDS kasutada? ==<br />
<br />
Tulemüürid on efektiivsed võrguliikluse filtreerimises, NAT ja liikluse suunamises. Tulemüürid aga teevad filtreerimise otsuseid ainult paketi päise puhul ehk kust IP ja pordi pealt tuleb ja kuhu IP ja pordi peale läheb.<br />
<br />
IDS/IPS lahenduste puhul aga analüüsitakse ka paketi sisu. Ühesõnaga tulemüür lubaks paketi liikumise aga IDS/IPS näeks, et paketi sisus on midagi pahatahtliku.<br />
<br />
== Paigutamine ==<br />
Sõltuvalt asutuse suurusest ja nõutavast turvatasemest on taristus üks või mitu sensorit ja tihti ka keskkonsool. Kui pakett vastab reeglile, saadetakse keskkonsooli või otse administraatorile teade. Paketi sisu tavaliselt logitakse.<br />
<br />
Kõige populaarsemad kohad kuhu IDS paigutada on: Perimeeter ehk tulemüürist sisse- või väljapoole, serverite võrgusegmendi ette ning suuremate võrkude puhul ka erinevate võrgusegmentide ette.<br />
<br />
Tüüpiline paigutus väikse kuni keskmise suurusega ettevõtte puhul on perimeetri peale, tulemüürist sissepoole. Jälgitava liikluse hulk selles punktis on võimalikult suur, samas on tulemüür esmase filtreerimise teostanud ning seega vähendanud analüüsitava liikluse hulka. Samuti on perimeeter üks esimesi kohti kus tuvastada võrku sisenevat või sealt väljuvat pahatahtliku liiklust. Paljudel juhtudel on siiski ründajad välised ja seega liigub liiklus sisevõrgu ja välisvõrgu vahel.<br />
<br />
=== Kuidas võrgu jälgimine toimub ===<br />
*IDS ühendatakse võrguseadme seire liidesesse (aka monitoring interface, port mirroring jne.) ehk kõik seadet läbivad paketid kopeeritakse sinna liidesesse.<br />
*Kasutatakse hubi. Palju neid tänapäeval ei kohta ning juhul kui kogu liiklus peab sealt läbi käima, siis võib tekkida probleeme jõudlusega. Kasulik juhul kui on vaja ühte seire liidest paljundada.<br />
*Võrguharund(network tap) paigaldatakse huvi pakkuva liini külge ja IDS ühendatakse võrguharundi külge. <br />
*Virtuaalkeskkondades kasutatakse ka SPAN tüüpi võrgu seadistust. VMWare keskkonnas tähendab see näiteks võrguliidese liitmist VLAN-i mille ID on 4096. VIrtualBoxi puhul piisab virtuaalmasina võrguliidese seadmisest valimatusse režiimi.<br />
<br />
IDS jaoks seadistatakse seadmele üks võrguliides valimatus(promiscuous) režiimis. Selle võrguliidese vastu suunatakse ka kogu võrgu liiklus. Sellises režiimis võrgu liides võtab valimatult vastu kõik paketid mis talle jälgitavad on. Seega kui liiklus peegeldatakse kommutaatorist on ka IDSile jälgitav kogu liiklus mis ka kommutaatorile.<br />
<br />
Suricata protsess käivitatakse parameetriga mis deklareerib millise pordi pealt tulevat liiklust peab kuulama. Selleks on -i parameeter, näiteks suricata -c /etc/suricata/suricata.yaml -i eth1<br />
<br />
<br />
<br />
<br />
Sokli tüüp<br />
IDS on võimalik seadistada kasutama kolme erinevat sokli tüüpi (järjestatud jõudluse järgi):<br />
<br />
*pcap<br />
*af_packet<br />
*pf_ring<br />
<br />
Väiksema koormusega võrguliikluse sõlmes piisab pcap sokkli kasutamisest. Sellisel juhul eraldi seadistamist teha ei ole vaja. Suurte koormuste puhul on mõistlik seadistada Suricata kasutama pf_ring tüüpi võrgu soklit.<br />
<br />
==Küsimused==<br />
# HIDS ja NIDS vahe?<br />
# Kuhu paigutatakse IDS lahendus, väikse kuni keskmise suurusega asutuse puhul, tüüpiliselt?<br />
# Millises režiimis peab IDS lahenduse jaoks võrgu jälgimist teostava liides olema?<br />
# Suurte koormuste puhul peaks kasutama millist võrgusoklit? <br />
<br />
==Kursuse avaleht==<br />
[[Sissetungi tuvastuse systeemid]]</div>Aellikuhttps://wiki.itcollege.ee/index.php?title=Sissetungi_tuvastuse_systeemid&diff=76388Sissetungi tuvastuse systeemid2014-06-06T06:58:04Z<p>Aelliku: </p>
<hr />
<div>=Üldinfo=<br />
'''Kuna antud kursus on hetkel piloteerimisel, siis leitud vigadest ja/või soovitustest palun teada anda e-posti aadressil andres.elliku@itcollege.ee'''<br />
<br />
Hindamisviis: Arvestus<br />
<br />
==Juhendid==<br />
Õpijuhend: [[IDS systeemid - Opijuhis]]<br />
<br />
Labori paigaldusjuhend: [[IDS systeemid - Labori paigaldusjuhend]]<br />
<br />
'''Rangelt soovituslik aine IT Kolledži tudengitele:''' Operatsioonisüsteemide administreerimine ja sidumine (I233)<br />
<br />
==Õppejõud==<br />
<br />
=Eesmärk ja sisu=<br />
Tutvustada sissetungi tuvastuse süsteemide (edaspidi IDS) põhimõisteid. Anda oskused nende paigaldamiseks ja haldamiseks. Kursus sisaldab teoreetilisi materjale alus- ja põhimõistete tutvustamiseks, laboratoorseid töid, mille käigus paigaldatakse IDS lahendus, teostatakse põhilisi IDS süsteemi haldustoiminguid ning simuleeritakse võrgurünnete tuvastamist.<br />
<br />
'''Suurem osa ajast ja vaevast läheb praktiliste ülesannete peale'''<br />
<br />
=Loengud=<br />
<br />
[[IDS systeemid - Sissejuhatus]]<br />
<br />
[[IDS systeemid - Reeglid ja reeglikogumikud]]<br />
<br />
=Praktilised ülesanded=<br />
<br />
[[IDS Systeemid - Labor 1]]<br />
<br />
[[IDS Systeemid - Labor 2]]<br />
<br />
=Abimaterjal=<br />
*[[https://redmine.openinfosecfoundation.org/projects/suricata/wiki/Suricata_Installation Suricata installatsiooni juhend]]<br />
*[[https://redmine.openinfosecfoundation.org/projects/suricata/wiki/Suricata_User_Guide Suricata kasutusjuhend]]</div>Aellikuhttps://wiki.itcollege.ee/index.php?title=IDS_Systeemid_-_Labor_2&diff=76310IDS Systeemid - Labor 22014-06-02T21:16:02Z<p>Aelliku: </p>
<hr />
<div>=Labor 2=<br />
==Reegli kirjutamine ning rünnaku tuvastus ja analüüs==<br />
<br />
Käesolevas laboris uurime ühte konkreetset rünnakut ning kirjutame selle tuvastamiseks reegli. Lisaks sellele paigaldame Logstashi ja Kibana nimelised tarkvarad, et graafiliselt vaaadelda rünnakuid. Logstash ja Kibana sobivad väga hästi logide kogumiseks ja keskkonsoolina kasutamiseks.<br />
<br />
==Paigaldame Logstashi ja Kibana==<br />
<br />
1. Paigaldame eeldus tarkvara:<br />
<br />
<source lang="bash"><br />
apt-get install apache2 openjdk-7-jdk openjdk-7-jre-headless<br />
</source><br />
<br />
2. Laeme alla ja paigaldame Logstashi ja Kibana(alla laadimine võtab natuke aega):<br />
<source lang="bash"><br />
wget https://download.elasticsearch.org/kibana/kibana/kibana-3.1.0.tar.gz<br />
wget https://download.elasticsearch.org/elasticsearch/elasticsearch/elasticsearch-1.2.0.deb<br />
wget https://download.elasticsearch.org/logstash/logstash/packages/debian/logstash_1.4.1-1-bd507eb_all.deb<br />
<br />
tar -C /var/www/ -xzf kibana-3.1.0.tar.gz<br />
mv /var/www/kibana-3.1.0 /var/www/kibana<br />
dpkg -i elasticsearch-1.1.0.deb<br />
dpkg -i logstash_1.4.0-1-c82dc09_all.deb<br />
</source><br />
<br />
3. Loome Logstashi konfiguratsiooni faili ja kopeerime sinna konfiguratsiooni:<br />
<source lang="bash"><br />
touch /etc/logstash/conf.d/logstash.conf<br />
vim /etc/logstash/conf.d/logstash.conf<br />
</source><br />
<br />
Kopeerime logstash.conf faili järgnevad read:<br />
<source lang="bash"><br />
input {<br />
file { <br />
path => ["/var/log/suricata/eve.json"]<br />
codec => json <br />
type => "SuricataIDPS-logs" <br />
}<br />
<br />
}<br />
<br />
filter {<br />
if [type] == "SuricataIDPS-logs" {<br />
date {<br />
match => [ "timestamp", "ISO8601" ]<br />
}<br />
}<br />
<br />
if [src_ip] {<br />
geoip {<br />
source => "src_ip" <br />
target => "geoip" <br />
database => "/opt/logstash/vendor/geoip/GeoLiteCity.dat" <br />
add_field => [ "[geoip][coordinates]", "%{[geoip][longitude]}" ]<br />
add_field => [ "[geoip][coordinates]", "%{[geoip][latitude]}" ]<br />
}<br />
mutate {<br />
convert => [ "[geoip][coordinates]", "float" ]<br />
}<br />
}<br />
}<br />
<br />
output { <br />
elasticsearch {<br />
host => localhost<br />
}<br />
}<br />
</source><br />
<br />
4. Seadistame käivitumise teenused:<br />
<source lang="bash"><br />
update-rc.d elasticsearch defaults 95 10<br />
update-rc.d logstash defaults<br />
<br />
service apache2 restart<br />
service elasticsearch start<br />
service logstash start<br />
</source><br />
<br />
5. Seadistame Apache:<br />
<source lang="bash"><br />
cd /etc/apache2/sites-available/<br />
cp 000-default.conf kibana.conf<br />
</source><br />
<br />
Seadistame VirtualHosti konfi järgnevaks:<br />
<source lang="bash"><br />
Listen 8080<br />
<VirtualHost *:8080><br />
# The ServerName directive sets the request scheme, hostname and port that<br />
# the server uses to identify itself. This is used when creating<br />
# redirection URLs. In the context of virtual hosts, the ServerName<br />
# specifies what hostname must appear in the request's Host: header to<br />
# match this virtual host. For the default virtual host (this file) this<br />
# value is not decisive as it is used as a last resort host regardless.<br />
# However, you must set it for any further virtual host explicitly.<br />
#ServerName www.example.com<br />
ServerName ids.planet.zz<br />
ServerAdmin webmaster@localhost<br />
DocumentRoot /var/www/kibana-3.1.0<br />
<br />
# Available loglevels: trace8, ..., trace1, debug, info, notice, warn,<br />
# error, crit, alert, emerg.<br />
# It is also possible to configure the loglevel for particular<br />
# modules, e.g.<br />
#LogLevel info ssl:warn<br />
<br />
ErrorLog ${APACHE_LOG_DIR}/error.log<br />
CustomLog ${APACHE_LOG_DIR}/access.log combined<br />
<br />
# For most configuration files from conf-available/, which are<br />
# enabled or disabled at a global level, it is possible to<br />
# include a line for only one particular virtual host. For example the<br />
# following line enables the CGI configuration for this host only<br />
# after it has been globally disabled with "a2disconf".<br />
#Include conf-available/serve-cgi-bin.conf<br />
</VirtualHost><br />
</source><br />
<br />
Lubame virtualhosti:<br />
<br />
<source lang="bash"><br />
a2ensite kibana.conf<br />
</source><br />
Kofigureerime Kibana esmaseks töölauaks Logstashi vaate:<br />
<source lang="bash"><br />
cd /var/www/kibana-3.1.0/app/dashboards/<br />
curl -o suricata2.json https://gist.githubusercontent.com/regit/8849943/raw/15f1626090d7bb0d75bca33807cfaa4199b767b4/Suricata%20dashboard<br />
</source><br />
<br />
Laeme apache teenuse uuesti:<br />
<source lang="bash"><br />
service apache2 reload<br />
</source><br />
<br />
Minnes veebilehtsejaga aadressile http://ids.planet.zz:8080/#/dashboard/file/suricata2.json, avaneb meile Kibana liides eelnevalt Suricata jaoks loodud vaatega.<br />
<br />
<br />
<br />
http://blog.oneiroi.co.uk/ids/ips/security/visualization/kibana/logstash/suricata/arm/utilite/suricata-logstash-kibana-utilite-pro-arm/<br />
<br />
https://gist.github.com/regit<br />
<br />
https://home.regit.org/category/securite/<br />
<br />
http://www.appliednsm.com/category/analysis/</div>Aellikuhttps://wiki.itcollege.ee/index.php?title=Sissetungi_tuvastuse_systeemid&diff=76309Sissetungi tuvastuse systeemid2014-06-02T20:58:01Z<p>Aelliku: /* Praktilised ülesanded */</p>
<hr />
<div>=Üldinfo=<br />
'''Kuna antud kursus on hetkel piloteerimisel, siis leitud vigadest ja/või soovitustest palun teada anda e-posti aadressil andres.elliku@itcollege.ee'''<br />
<br />
Hindamisviis: Arvestus<br />
<br />
==Juhendid==<br />
Õpijuhend: [[IDS systeemid - Opijuhis]]<br />
<br />
Labori paigaldusjuhend: [[IDS systeemid - Labori paigaldusjuhend]]<br />
<br />
'''Rangelt soovituslik aine:''' Operatsioonisüsteemide administreerimine ja sidumine (I233)<br />
<br />
==Õppejõud==<br />
<br />
=Eesmärk ja sisu=<br />
Tutvustada sissetungi tuvastuse süsteemide (edaspidi IDS) põhimõisteid. Anda oskused nende paigaldamiseks ja haldamiseks. Kursus sisaldab teoreetilisi materjale alus- ja põhimõistete tutvustamiseks, laboratoorseid töid, mille käigus paigaldatakse IDS lahendus, teostatakse põhilisi IDS süsteemi haldustoiminguid ning simuleeritakse võrgurünnete tuvastamist.<br />
<br />
'''Suurem osa ajast ja vaevast läheb praktiliste ülesannete peale'''<br />
<br />
=Loengud=<br />
<br />
[[IDS systeemid - Sissejuhatus]]<br />
<br />
[[IDS systeemid - Reeglid ja reeglikogumikud]]<br />
<br />
=Praktilised ülesanded=<br />
<br />
[[IDS Systeemid - Labor 1]]<br />
<br />
[[IDS Systeemid - Labor 2]]<br />
<br />
=Abimaterjal=<br />
*[[https://redmine.openinfosecfoundation.org/projects/suricata/wiki/Suricata_Installation Suricata installatsiooni juhend]]<br />
*[[https://redmine.openinfosecfoundation.org/projects/suricata/wiki/Suricata_User_Guide Suricata kasutusjuhend]]</div>Aellikuhttps://wiki.itcollege.ee/index.php?title=Sissetungi_tuvastuse_systeemid&diff=76272Sissetungi tuvastuse systeemid2014-05-28T20:35:57Z<p>Aelliku: </p>
<hr />
<div>=Üldinfo=<br />
'''Kuna antud kursus on hetkel piloteerimisel, siis leitud vigadest ja/või soovitustest palun teada anda e-posti aadressil andres.elliku@itcollege.ee'''<br />
<br />
Hindamisviis: Arvestus<br />
<br />
==Juhendid==<br />
Õpijuhend: [[IDS systeemid - Opijuhis]]<br />
<br />
Labori paigaldusjuhend: [[IDS systeemid - Labori paigaldusjuhend]]<br />
<br />
'''Rangelt soovituslik aine:''' Operatsioonisüsteemide administreerimine ja sidumine (I233)<br />
<br />
==Õppejõud==<br />
<br />
=Eesmärk ja sisu=<br />
Tutvustada sissetungi tuvastuse süsteemide (edaspidi IDS) põhimõisteid. Anda oskused nende paigaldamiseks ja haldamiseks. Kursus sisaldab teoreetilisi materjale alus- ja põhimõistete tutvustamiseks, laboratoorseid töid, mille käigus paigaldatakse IDS lahendus, teostatakse põhilisi IDS süsteemi haldustoiminguid ning simuleeritakse võrgurünnete tuvastamist.<br />
<br />
'''Suurem osa ajast ja vaevast läheb praktiliste ülesannete peale'''<br />
<br />
=Loengud=<br />
<br />
[[IDS systeemid - Sissejuhatus]]<br />
<br />
[[IDS systeemid - Reeglid ja reeglikogumikud]]<br />
<br />
=Praktilised ülesanded=<br />
<br />
[[IDS Systeemid - Labor 1]]<br />
<br />
=Abimaterjal=<br />
*[[https://redmine.openinfosecfoundation.org/projects/suricata/wiki/Suricata_Installation Suricata installatsiooni juhend]]<br />
*[[https://redmine.openinfosecfoundation.org/projects/suricata/wiki/Suricata_User_Guide Suricata kasutusjuhend]]</div>Aellikuhttps://wiki.itcollege.ee/index.php?title=IDS_systeemid_-_Opijuhis&diff=76271IDS systeemid - Opijuhis2014-05-28T20:35:04Z<p>Aelliku: </p>
<hr />
<div>=Õpijuhis=<br />
<br />
Õpijuhises võetakse läbi kursuse struktuur ja muu lisainfo. Aitab ka ajaliselt planeerida õppematerjalide läbimist.<br />
<br />
==Eeldusaine ja eelteadmiste testid==<br />
<br />
IT Kolledži tudengitele on rangelt soovituslik eeldusaine Operatsioonisüsteemide administreerimine ja sidumine (I233)<br />
<br />
Juhul kui sa ei ole oma teadmiste tasemes kindel: [[https://docs.google.com/document/d/17rlW8fU1LZOcQxO3bt12mba3frd7Xrkc9X2ytSKR-vA/edit?pli=1 Eeldustest]]<br />
<br />
Testis peaks saama minimaalselt 17 punkti 20 enne käesoleva kursuse läbimist.<br />
<br />
Lisaks eeldustesti teadmistele, peaksid teadma ka arvutivõrkusid baastasemel. Sinna alla kuuluvad TCP/IP, erinevad protokolli nagu näiteks HTTP ja SSH.<br />
<br />
<br />
==Kursuse ülesehitus==<br />
<br />
Kursuse avalehel on lingid loengutele ja praktikumidele. <br />
<br />
Esmalt tööta läbi kõik loengu materjalid ning vasta loengu materjalides olevatele küsimustele.<br />
<br />
Kui loengu materjalid on läbitud, siis asu praktiliste ülesannete kallale.<br />
<br />
IT Kolledži tudeng saab laborite teostamiseks kasutada [[https://elab.itcollege.ee/users/sign_in IT Kolledži kaugtöö laborit]], kus on olemas eelseadistatud labori keskkonnad.<br />
<br />
Hinnanguliselt võtab kursuse läbimine:<br />
<br />
* Loengumaterjalid - umbes 2 tundi<br />
* Laborid 1-3 - Umbes 2 tundi labori kohta.<br />
<br />
Kokku tuleks kursuse läbimiseks arvestada 8 akadeemilist tundi.<br />
<br />
Kursuse mahuks on umbes 0,3 EAP. '''Kursus toimub e-õppena.'''<br />
<br />
==Kursuse moodulid==<br />
<br />
'''Loengud:'''<br />
* Esimeses loengus vaadatakse üle IDS lahenduste põhimõisted, taristusse paigutamine ning võrgu jälgimine.<br />
* Teine loeng käsitleb reeglite loomist, haldamist ja uuendamist.<br />
* Kolmandas loengus räägitakse lähemalt IPS režiimist.<br />
<br />
'''Laborid:'''<br />
*Esimeses laboris tuleb paigaldada IDS lahendus, defineerida enda kirjutatud reegel, seadistada reeglite uuendamine Oinkmasteri abil ja optimiseerida reeglikogumikku.<br />
*Teises laboris kasutatakse esimeses laboris loodud lahendust. '''Seega teise labori eelduseks on esimese labori läbimine.''' Teise labori eesmärkideks on analüüsida rünnakut veebiserverile, luua rünnakut tuvastav reegel ja reegli abil leida rünnaku allikas või allikad.<br />
*Kolmas labor käsitleb IPS režiimi seadistamist ja liiklust keelava reegli katsetamist. <br />
<br />
==Abimaterjalid==<br />
<br />
NB! Abimaterjalid on inglise keeles<br />
<br />
Nendest materjalidest leiab lisainformatsiooni kursuse teemade kohta:<br />
*[[https://redmine.openinfosecfoundation.org/projects/suricata/wiki/Suricata_Installation Suricata installatsiooni juhend]]<br />
*[[https://redmine.openinfosecfoundation.org/projects/suricata/wiki/Suricata_User_Guide Suricata kasutusjuhend]]<br />
<br />
<br />
==Kursuse avaleht==<br />
[[Sissetungi tuvastuse systeemid]]</div>Aellikuhttps://wiki.itcollege.ee/index.php?title=Sissetungi_tuvastuse_systeemid&diff=76270Sissetungi tuvastuse systeemid2014-05-28T20:33:41Z<p>Aelliku: </p>
<hr />
<div>=Üldinfo=<br />
'''Kuna antud kursus on hetkel piloteerimisel, siis leitud vigadest palun teada anda e-posti aadressil andres.elliku@itcollege.ee'''<br />
<br />
Hindamisviis: Arvestus<br />
<br />
==Juhendid==<br />
Õpijuhend: [[IDS systeemid - Opijuhis]]<br />
<br />
Labori paigaldusjuhend: [[IDS systeemid - Labori paigaldusjuhend]]<br />
<br />
'''Rangelt soovituslik aine:''' Operatsioonisüsteemide administreerimine ja sidumine (I233)<br />
<br />
==Õppejõud==<br />
<br />
=Eesmärk ja sisu=<br />
Tutvustada sissetungi tuvastuse süsteemide (edaspidi IDS) põhimõisteid. Anda oskused nende paigaldamiseks ja haldamiseks. Kursus sisaldab teoreetilisi materjale alus- ja põhimõistete tutvustamiseks, laboratoorseid töid, mille käigus paigaldatakse IDS lahendus, teostatakse põhilisi IDS süsteemi haldustoiminguid ning simuleeritakse võrgurünnete tuvastamist.<br />
<br />
'''Suurem osa ajast ja vaevast läheb praktiliste ülesannete peale'''<br />
<br />
=Loengud=<br />
<br />
[[IDS systeemid - Sissejuhatus]]<br />
<br />
[[IDS systeemid - Reeglid ja reeglikogumikud]]<br />
<br />
=Praktilised ülesanded=<br />
<br />
[[IDS Systeemid - Labor 1]]<br />
<br />
=Abimaterjal=<br />
<br />
[[https://redmine.openinfosecfoundation.org/projects/suricata/wiki/Suricata_User_Guide Suricata kasutusjuhend]]</div>Aellikuhttps://wiki.itcollege.ee/index.php?title=IDS_systeemid_-_Opijuhis&diff=76269IDS systeemid - Opijuhis2014-05-28T20:32:10Z<p>Aelliku: </p>
<hr />
<div>=Õpijuhis=<br />
<br />
Õpijuhises võetakse läbi kursuse struktuur ja muu lisainfo. Aitab ka ajaliselt planeerida õppematerjalide läbimist.<br />
<br />
==Eeldusaine ja eelteadmiste testid==<br />
<br />
IT Kolledži tudengitele on rangelt soovituslik eeldusaine Operatsioonisüsteemide administreerimine ja sidumine (I233)<br />
<br />
Juhul kui sa ei ole oma teadmiste tasemes kindel: [[https://docs.google.com/document/d/17rlW8fU1LZOcQxO3bt12mba3frd7Xrkc9X2ytSKR-vA/edit?pli=1 Eeldustest]]<br />
<br />
Testis peaks saama minimaalselt 17 punkti 20 enne käesoleva kursuse läbimist.<br />
<br />
Lisaks eeldustesti teadmistele, peaksid teadma ka arvutivõrkusid baastasemel. Sinna alla kuuluvad TCP/IP, erinevad protokolli nagu näiteks HTTP ja SSH.<br />
<br />
<br />
==Kursuse ülesehitus==<br />
<br />
Kursuse avalehel on lingid loengutele ja praktikumidele. <br />
<br />
Esmalt tööta läbi kõik loengu materjalid ning vasta loengu materjalides olevatele küsimustele.<br />
<br />
Kui loengu materjalid on läbitud, siis asu praktiliste ülesannete kallale.<br />
<br />
IT Kolledži tudeng saab laborite teostamiseks kasutada [[https://elab.itcollege.ee/users/sign_in IT Kolledži kaugtöö laborit]], kus on olemas eelseadistatud labori keskkonnad.<br />
<br />
Hinnanguliselt võtab kursuse läbimine:<br />
<br />
* Loengumaterjalid - umbes 2 tundi<br />
* Laborid 1-3 - Umbes 2 tundi labori kohta.<br />
<br />
Kokku tuleks kursuse läbimiseks arvestada 8 akadeemilist tundi.<br />
<br />
Kursuse mahuks on umbes 0,3 EAP. '''Kursus toimub e-õppena.'''<br />
<br />
==Kursuse moodulid==<br />
<br />
'''Loengud:'''<br />
* Esimeses loengus vaadatakse üle IDS lahenduste põhimõisted, taristusse paigutamine ning võrgu jälgimine.<br />
* Teine loeng käsitleb reeglite loomist, haldamist ja uuendamist.<br />
* Kolmandas loengus räägitakse lähemalt IPS režiimist.<br />
<br />
'''Laborid:'''<br />
*Esimeses laboris tuleb paigaldada IDS lahendus, defineerida enda kirjutatud reegel, seadistada reeglite uuendamine Oinkmasteri abil ja optimiseerida reeglikogumikku.<br />
*Teises laboris kasutatakse esimeses laboris loodud lahendust. '''Seega teise labori eelduseks on esimese labori läbimine.''' Teise labori eesmärkideks on analüüsida rünnakut veebiserverile, luua rünnakut tuvastav reegel ja reegli abil leida rünnaku allikas või allikad.<br />
*Kolmas labor käsitleb IPS režiimi seadistamist ja liiklust keelava reegli katsetamist. <br />
<br />
==Abimaterjalid==<br />
<br />
NB! Abimaterjalid on inglise keeles<br />
<br />
Nendest materjalidest leiab lisainformatsiooni kursuse teemade kohta:<br />
*[[https://redmine.openinfosecfoundation.org/projects/suricata/wiki/Suricata_Installation Suricata installatsiooni juhend]]<br />
*[[https://redmine.openinfosecfoundation.org/projects/suricata/wiki/Suricata_User_Guide Suricata kasutusjuhend]]</div>Aellikuhttps://wiki.itcollege.ee/index.php?title=Sissetungi_tuvastuse_systeemid&diff=76268Sissetungi tuvastuse systeemid2014-05-28T20:29:39Z<p>Aelliku: </p>
<hr />
<div>=Üldinfo=<br />
'''Kuna antud kursus on hetkel piloteerimisel, siis leitud vigadest palun teada anda e-posti aadressil andres.elliku@itcollege.ee'''<br />
<br />
Hindamisviis: Arvestus<br />
<br />
==Juhendid==<br />
Õpijuhend: [[IDS systeemid - Opijuhis]]<br />
<br />
Labori paigaldusjuhend: [[IDS systeemid - Labori paigaldusjuhend]]<br />
<br />
'''Rangelt soovituslik aine:''' Operatsioonisüsteemide administreerimine ja sidumine (I233)<br />
<br />
==Õppejõud==<br />
<br />
=Eesmärk ja sisu=<br />
Tutvustada sissetungi tuvastuse süsteemide (edaspidi IDS) põhimõisteid. Anda oskused nende paigaldamiseks ja haldamiseks. Kursus sisaldab teoreetilisi materjale alus- ja põhimõistete tutvustamiseks, laboratoorseid töid, mille käigus paigaldatakse IDS lahendus, teostatakse põhilisi IDS süsteemi haldustoiminguid ning simuleeritakse võrgurünnete tuvastamist. <br />
<br />
=Loengud=<br />
<br />
[[IDS systeemid - Sissejuhatus]]<br />
<br />
[[IDS systeemid - Reeglid ja reeglikogumikud]]<br />
<br />
=Praktilised ülesanded=<br />
<br />
[[IDS Systeemid - Labor 1]]<br />
<br />
=Abimaterjal=<br />
<br />
[[https://redmine.openinfosecfoundation.org/projects/suricata/wiki/Suricata_User_Guide Suricata kasutusjuhend]]</div>Aellikuhttps://wiki.itcollege.ee/index.php?title=Sissetungi_tuvastuse_systeemid&diff=76267Sissetungi tuvastuse systeemid2014-05-28T20:27:42Z<p>Aelliku: </p>
<hr />
<div>=Üldinfo=<br />
'''Kuna antud kursus on hetkel piloteerimisel, siis leitud vigadest palun teada anda e-posti aadressil andres.elliku@itcollege.ee'''<br />
<br />
Hindamisviis: Arvestus<br />
<br />
==Juhendid==<br />
Õpijuhend: [[IDS systeemid - Opijuhis]]<br />
<br />
Labori paigaldusjuhend: [[IDS systeemid - Labori paigaldusjuhend]]<br />
<br />
=== Eeldused ===<br />
<br />
'''Rangelt soovituslik aine:''' Operatsioonisüsteemide administreerimine ja sidumine (I233)<br />
<br />
Juhul kui ei ole oma teadmiste tasemes kindel: [[https://docs.google.com/document/d/17rlW8fU1LZOcQxO3bt12mba3frd7Xrkc9X2ytSKR-vA/edit?pli=1 Eeldustest]]<br />
<br />
Lisaks eeldustesti teadmistele, peaks teada ma ka arvutivõrkusid baastasemel. Sinna alla kuuluvad TCP/IP, erinevad protokolli nagu näiteks HTTP ja SSH.<br />
<br />
==Õppejõud==<br />
<br />
=Eesmärk ja sisu=<br />
Tutvustada sissetungi tuvastuse süsteemide (edaspidi IDS) põhimõisteid. Anda oskused nende paigaldamiseks ja haldamiseks. Kursus sisaldab teoreetilisi materjale alus- ja põhimõistete tutvustamiseks, laboratoorseid töid, mille käigus paigaldatakse IDS lahendus, teostatakse põhilisi IDS süsteemi haldustoiminguid ning simuleeritakse võrgurünnete tuvastamist. <br />
<br />
=Loengud=<br />
<br />
[[IDS systeemid - Sissejuhatus]]<br />
<br />
[[IDS systeemid - Reeglid ja reeglikogumikud]]<br />
<br />
=Praktilised ülesanded=<br />
<br />
[[IDS Systeemid - Labor 1]]<br />
<br />
=Abimaterjal=<br />
<br />
[[https://redmine.openinfosecfoundation.org/projects/suricata/wiki/Suricata_User_Guide Suricata kasutusjuhend]]</div>Aellikuhttps://wiki.itcollege.ee/index.php?title=IDS_systeemid_-_Sissejuhatus&diff=76266IDS systeemid - Sissejuhatus2014-05-28T20:08:43Z<p>Aelliku: </p>
<hr />
<div>=Sissejuhatus=<br />
<br />
IDS ehk sissetungi tuvastuse süsteem on tehnoloogiline lahendus arvutivõrgu monitoorimiseks infoturbe tagamise eesmärgil.<br />
IDS lahendusi võib jagada kahte suurde gruppi:<br />
NIDS - Network intrusion detection system ehk võrgu põhine sissetungi tuvastuse süsteem<br />
HIDS - Host based intrusion detection system ehk seadme põhine sissetungi tuvastuse süsteem<br />
<br />
==HIDS==<br />
HIDS lahendused on vähem levinud kuid viimasel ajal on mõned antiviiruse tarkvarad hakanud seda ühe komponendinda kasutama. Avatud lähtekoodiga lahendustest on üks levinumaid OSSEC.<br />
HIDS lahenduste eesmärgiks on teatud kriitiliste süsteemi osade jälgimine. Nende hulka kuuluvad näiteks “RunOnce” registrivõtmed Windowsi puhul ja erinevad ajutiste failide kaustad ehk populaarsed kohad kas pahavara failide hoidmiseks või püsivuse tagamiseks. OSSEC puhul on võimalik defineerida poliitikad, et milliseid faile, kaustu ja registri võtmeid jälgida <br />
Käesoleva kursuse raamidest jääb nende lahenduste lähem tutvustus välja.<br />
<br />
==NIDS==<br />
Tüüpiliselt mõeldakse tavakasutuses IDS lahenduste all just NIDS tüüpi lahendusi. Populaarsemate näidetena võib välja tuua Snort, Suricata ja Bro. Kursuse raames käib teoreetiline ja praktiline materjal Suricata kohta ning lihtsuse mõttes on edaspidi väljendi IDS all mõeldud just Suricatat ehk NIDS tüüpi lahendust.<br />
<br />
IDS jälgib võrgusegmenti. Selleks suunatakse koopia võrguliiklusest mille iga paketti IDS analüüsib paketi haaval reeglite kogumiku vastu. Leides vaste väljastatakse selle kohta vastav teade.<br />
<br />
IPS ehk intrusion prevention system(sissetungi takistuse režiim) on spetsiaalne konfiguratsioon IDS puhul, kus võrguliiklust mitte ei kopeerita vaid suunatakse läbi lahenduse ehk ta täidab võrgulüüsi rolli. Nagu ka IDS puhul analüüsitakse kõigi pakettide päist ja sisu. Erinevuseks IDS tekib võimalus paketi vahelt ära korjata (drop packet). Tüüpiliselt on juurutatud kommutaatori või ruuterina, vahest ka tarkvara moodulina serveris.<br />
<br />
Kuigi puhas IDS lahendus ei suuda automaatselt võrku kaitsta, lisatakse IDS lahendustele vahest<br />
<br />
== Miks IDS kasutada? ==<br />
<br />
Tulemüürid on efektiivsed võrguliikluse filtreerimises, NAT ja liikluse suunamises. Tulemüürid aga teevad filtreerimise otsuseid ainult paketi päise puhul ehk kust IP ja pordi pealt tuleb ja kuhu IP ja pordi peale läheb.<br />
<br />
IDS/IPS lahenduste puhul aga analüüsitakse ka paketi sisu. Ühesõnaga tulemüür lubaks paketi liikumise aga IDS/IPS näeks, et paketi sisus on midagi pahatahtliku.<br />
<br />
== Paigutamine ==<br />
Sõltuvalt asutuse suurusest ja nõutavast turvatasemest on taristus üks või mitu sensorit ja tihti ka keskkonsool. Kui pakett vastab reeglile, saadetakse keskkonsooli või otse administraatorile teade. Paketi sisu tavaliselt logitakse.<br />
<br />
Kõige populaarsemad kohad kuhu IDS paigutada on: Perimeeter ehk tulemüürist sisse- või väljapoole, serverite võrgusegmendi ette ning suuremate võrkude puhul ka erinevate võrgusegmentide ette.<br />
<br />
=== Kuidas võrgu jälgimine toimub ===<br />
*IDS ühendatakse võrguseadme seire liidesesse (aka monitoring interface, port mirroring jne.) ehk kõik seadet läbivad paketid kopeeritakse sinna liidesesse.<br />
*Kasutatakse hubi. Palju neid tänapäeval ei kohta ning juhul kui kogu liiklus peab sealt läbi käima, siis võib tekkida probleeme jõudlusega. Kasulik juhul kui on vaja ühte seire liidest paljundada.<br />
*Võrguharund(network tap) paigaldatakse huvi pakkuva liini külge ja IDS ühendatakse võrguharundi külge. <br />
*Virtuaalkeskkondades kasutatakse ka SPAN tüüpi võrgu seadistust. VMWare keskkonnas tähendab see näiteks võrguliidese liitmist VLAN-i mille ID on 4096. VIrtualBoxi puhul piisab virtuaalmasina võrguliidese seadmisest valimatusse režiimi.<br />
<br />
IDS jaoks seadistatakse seadmele üks võrguliides valimatus(promiscuous) režiimis. Selle võrguliidese vastu suunatakse ka kogu võrgu liiklus. Sellises režiimis võrgu liides võtab valimatult vastu kõik paketid mis talle jälgitavad on. Seega kui liiklus peegeldatakse kommutaatorist on ka IDSile jälgitav kogu liiklus mis ka kommutaatorile.<br />
<br />
Suricata protsess käivitatakse parameetriga mis deklareerib millise pordi pealt tulevat liiklust peab kuulama. Selleks on -i parameeter, näiteks suricata -c /etc/suricata/suricata.yaml -i eth1<br />
<br />
<br />
<br />
<br />
Sokli tüüp<br />
IDS on võimalik seadistada kasutama kolme erinevat sokli tüüpi (järjestatud jõudluse järgi):<br />
<br />
*pcap<br />
*af_packet<br />
*pf_ring<br />
<br />
Väiksema koormusega võrguliikluse sõlmes piisab pcap sokkli kasutamisest. Sellisel juhul eraldi seadistamist teha ei ole vaja. Suurte koormuste puhul on mõistlik seadistada Suricata kasutama pf_ring tüüpi võrgu soklit.<br />
<br />
==Kursuse avaleht==<br />
[[Sissetungi tuvastuse systeemid]]</div>Aellikuhttps://wiki.itcollege.ee/index.php?title=IDS_systeemid_-_Labori_paigaldusjuhend&diff=76265IDS systeemid - Labori paigaldusjuhend2014-05-28T18:27:45Z<p>Aelliku: Created page with "=Labori keskkonna paigaldusjuhend= Labori keskkonnas on kasutusel 3 virtuaalmasinat: *IDS - Masin kuhu peale paigaldatakse Suricata. *Klient - Masin mida kasutatakse peaasjalik…"</p>
<hr />
<div>=Labori keskkonna paigaldusjuhend=<br />
<br />
Labori keskkonnas on kasutusel 3 virtuaalmasinat:<br />
<br />
*IDS - Masin kuhu peale paigaldatakse Suricata.<br />
*Klient - Masin mida kasutatakse peaasjalikult graafilise liidese, veebibrauseri ja ssh ühenduste jaoks ehk siin saab vaadata juhendeid ja vajalikke veebiliideseid ning üle ssh kontrollida teisi masinaid.<br />
*BAD - Masin, mille pealt teostatakse rünnakuid, mida IDS masin peab avastama.<br />
<br />
Juhendi puhul on sisemise võrgu loomisel kasutatud VirtualBoxi poolt automaatselt ette antud nime "intnet".<br />
<br />
== IDS ==<br />
Virtualboxi konfiguratsioon:<br />
<br />
* min. 1 protsessori tuum<br />
* min. 512MB operatiivmälu<br />
* VÕrguliides 1: NAT tüüpi liides interneti ühenduse jaoks (vajaliku tarkvara paigaldamiseks jne.)<br />
* Võrguliides 2: "Internal network" tüüpi liides, mis tuleb seada promiscous ehk valimatusse režiimi.<br />
* Võrguliides 3: "Internal network" tüüpi liides, sisevõrgust manageerimiseks.(ssh, http)<br />
<br />
=== Operatsioonisüsteem ===<br />
Labori juhendites kasutusel Ubunutu Linux 14.04 LTS 64bit Server<br />
Järgnevalt kirjeldan IDS masina operatsioonisüsteemi seadistused.<br />
Kui Virtualboxi liidesed on seadistatud samas järjekorras nagu eelmises sektsioonis, siis liidese nimed peaksid ühtima.<br />
<br />
*eth0: Virtualboxi poolt konfigureeritud dünaamiline võrguaadress<br />
*eth1: Labor 1 käigus seadistad.<br />
*eth2: Staatiline sisevõrgu IP. Labori juhendite puhul on selleks 192.168.56.2<br />
<br />
Hosts faili võib teha kirjed teiste masinate kohta, et kirjutamise vaeva natuke vähendada. Kui on nimelahendus, siis see on veel parem<br />
<br />
==== Tarkvara ====<br />
<br />
Tarkvara mida ei paigaldata laborite käigus ja võiks eelnevalt olemas olla.<br />
<br />
*Apache veebiserver<br />
*OpenSSH<br />
*vim<br />
<br />
== BAD ==<br />
Virtualboxi konfiguratsioon:<br />
<br />
* min. 1 protsessori tuum<br />
* min. 512MB operatiivmälu<br />
* VÕrguliides 1: NAT tüüpi liides interneti ühenduse jaoks (vajaliku tarkvara paigaldamiseks jne.)<br />
* Võrguliides 2: "Internal network" tüüpi liides, sisevõrgust manageerimiseks ning rünnakute teostamiseks.<br />
<br />
=== Operatsioonisüsteem ===<br />
Labori juhendites kasutusel Ubunutu Linux 14.04 LTS 64bit Server<br />
Järgnevalt kirjeldan BAD masina operatsioonisüsteemi seadistused.<br />
Kui Virtualboxi liidesed on seadistatud samas järjekorras nagu eelmises sektsioonis, siis liidese nimed peaksid ühtima.<br />
<br />
*eth0: Virtualboxi poolt konfigureeritud dünaamiline võrguaadress.<br />
*eth1: Staatiline sisevõrgu IP. Labori juhendite puhul on selleks 192.168.56.4<br />
<br />
Ka siin võib hosts faili teha kirjed teiste masinate kohta, et kirjutamise vaeva natuke vähendada. Kui on nimelahendus, siis see on veel parem.<br />
<br />
==== Tarkvara ====<br />
<br />
Tarkvara mida ei paigaldata laborite käigus ja võiks eelnevalt olemas olla.<br />
<br />
*Apache veebiserver<br />
*OpenSSH<br />
*vim<br />
*Liikluse genereerimiseks: ?<br />
*Rünnakute teostamiseks: ?<br />
<br />
<br />
== Klient ==<br />
Virtualboxi konfiguratsioon:<br />
<br />
* min. 1 protsessori tuum<br />
* min. 1024MB operatiivmälu<br />
* VÕrguliides 1: NAT tüüpi liides interneti ühenduse jaoks (vajaliku tarkvara paigaldamiseks jne.)<br />
* Võrguliides 2: "Internal network" tüüpi liides. teiste masinate haldamine.<br />
<br />
=== Operatsioonisüsteem ===<br />
Labori juhendites kasutusel Ubunutu Linux 14.04 LTS 64bit Desktop <br />
Järgnevalt kirjeldan BAD masina operatsioonisüsteemi seadistused.<br />
Kui Virtualboxi liidesed on seadistatud samas järjekorras nagu eelmises sektsioonis, siis liidese nimed peaksid ühtima.<br />
<br />
*eth0: Virtualboxi poolt konfigureeritud dünaamiline võrguaadress.<br />
*eth1: Staatiline sisevõrgu IP. Labori juhendite puhul on selleks 192.168.56.3<br />
<br />
Ka siin võib hosts faili teha kirjed teiste masinate kohta, et kirjutamise vaeva natuke vähendada. Kui on nimelahendus, siis see on veel parem.<br />
<br />
==== Tarkvara ====<br />
<br />
Tarkvara mida ei paigaldata laborite käigus ja võiks eelnevalt olemas olla.<br />
<br />
*OpenSSH<br />
*vim</div>Aellikuhttps://wiki.itcollege.ee/index.php?title=Sissetungi_tuvastuse_systeemid&diff=76264Sissetungi tuvastuse systeemid2014-05-28T18:27:15Z<p>Aelliku: </p>
<hr />
<div>=Üldinfo=<br />
'''Kuna antud kursus on hetkel piloteerimisel, siis leitud vigadest palun teada anda e-posti aadressil andres.elliku@itcollege.ee'''<br />
<br />
Hindamisviis: Arvestus<br />
<br />
==Juhendid==<br />
Õpijuhend: [[IDS systeemid - Opijuhis]]<br />
<br />
Labori paigaldusjuhend: [[IDS systeemid - Labori paigaldusjuhend]]<br />
<br />
'''Rangelt soovituslik aine:''' Operatsioonisüsteemide administreerimine ja sidumine (I233)<br />
<br />
==Õppejõud==<br />
<br />
=Eesmärk ja sisu=<br />
Tutvustada sissetungi tuvastuse süsteemide (edaspidi IDS) põhimõisteid. Anda oskused nende paigaldamiseks ja haldamiseks. Kursus sisaldab teoreetilisi materjale alus- ja põhimõistete tutvustamiseks, laboratoorseid töid, mille käigus paigaldatakse IDS lahendus, teostatakse põhilisi IDS süsteemi haldustoiminguid ning simuleeritakse võrgurünnete tuvastamist. <br />
<br />
=Loengud=<br />
<br />
[[IDS systeemid - Sissejuhatus]]<br />
<br />
[[IDS systeemid - Reeglid ja reeglikogumikud]]<br />
<br />
=Praktilised ülesanded=<br />
<br />
[[IDS Systeemid - Labor 1]]<br />
<br />
=Abimaterjal=<br />
<br />
[[https://redmine.openinfosecfoundation.org/projects/suricata/wiki/Suricata_User_Guide Suricata kasutusjuhend]]</div>Aellikuhttps://wiki.itcollege.ee/index.php?title=IDS_Systeemid_-_Labor_1&diff=76263IDS Systeemid - Labor 12014-05-27T20:23:39Z<p>Aelliku: /* Üksiku või mitme reegli keelamine */</p>
<hr />
<div>=Labor 1=<br />
<br />
Labori käigus paigaldame Suricata ning testime selle töötamist.<br />
<br />
Seame paika reeglite uuendamise Oinkmasteri abil kasutades Emerging Threats reeglikogumikku ning optimeerime kasutatavat reeglikogumikku.<br />
<br />
==Ettevalmistused Suricata paigaldamiseks==<br />
<br />
===Seadistame eth1 võrguliidese valimatusse režiimi===<br />
<br />
1. Avame faili interfaces:<br />
<br />
vim /etc/network/interfaces<br />
<br />
2. Lisame eth1 parameetrid:<br />
<br />
auto eth1<br />
iface eth1 inet manual <br />
up ifconfig $IFACE 0.0.0.0 up<br />
up ip link set $IFACE promisc on<br />
down ip link set $IFACE promisc off <br />
down ifconfig $IFACE down<br />
<br />
3. Salvesta ja välju<br />
<br />
4. Teeme võrgu teenusele taaskäivituse<br />
<br />
service networking restart<br />
<br />
5. Kontrollime võrguliidest.<br />
<br />
ifconfig <br />
<br />
<br />
Käsu väljundis näeme kolmandas reas "UP BROADCAST RUNNING PROMISC":<br />
<br />
eth1 Link encap:Ethernet HWaddr 00:0c:29:32:bf:11<br />
inet6 addr: fe80::20c:29ff:fe32:bf11/64 Scope:Link<br />
UP BROADCAST RUNNING PROMISC MULTICAST MTU:1500 Metric:1 <br />
RX packets:1152 errors:0 dropped:0 overruns:0 frame:0 <br />
TX packets:62 errors:0 dropped:0 overruns:0 carrier:0 <br />
collisions:0 txqueuelen:1000 <br />
RX bytes:94351 (94.3 KB) TX bytes:17248 (17.2 KB)<br />
<br />
<br />
<br />
==Suricata paigaldus==<br />
<br />
1. Suricata kasutamisel Ubuntu distributsiooni peal on kõige lihtsam kasutada repositooriumi. Kõigepealt paigaldame paki nimega "python-software-properties", kuna selle sees asub programm "add-apt-repository", mida kasutame järgmisena.<br />
<br />
apt-get install python-software-properties<br />
<br />
2. Lisame repositooriumi ja piagaldame Suricata<br />
<br />
add-apt-repository ppa:oisf/suricata-stable<br />
apt-get update<br />
apt-get install suricata<br />
<br />
3. Suricata uuendamiseks saame kasutada<br />
<br />
apt-get update<br />
apt-get upgrade<br />
<br />
4. Eemaldamiseks<br />
<br />
apt-get remove suricata<br />
<br />
<br />
==Seadistamine==<br />
<br />
===Suricata parameetrite määramine===<br />
<br />
1. Loome logide kausta<br />
<br />
mkdir /var/log/suricata<br />
<br />
2. Avame Suricata konfiguratsiooni faili:<br />
<br />
vim /etc/suricata/suricata.yaml<br />
<br />
Kirjeldame kasutuses olevad operatsiooni süsteemid otsides "suricata.yaml" failist rida "host-os-policy" (VIM-i puhul saab otsimist teostada sisestades "/" ning seejärel otsitava teksti.)<br />
<br />
host-os-policy:<br />
# Make the default policy windows.<br />
windows: []<br />
bsd: []<br />
bsd-right: []<br />
old-linux: []<br />
linux: [192.168.56.200, 192.168.56.201, 192.168.56.101, 127.0.0.1]<br />
old-solaris: []<br />
solaris: []<br />
hpux10: []<br />
hpux11: []<br />
irix: []<br />
macos: []<br />
vista: []<br />
<br />
Kirjeldame ära aadresside grupid. Selleks otsime üles rea "address-groups"<br />
<br />
address-groups:<br />
HOME_NET: "[192.168.56.0/24]"<br />
EXTERNAL_NET: "!$HOME_NET"<br />
<br />
===Enda kirjutatud reeglid===<br />
<br />
1. Enda kirjutatud reeglite kasutamiseks loome faili local.rules<br />
<br />
touch /etc/suricata/rules/local.rules<br />
<br />
Lisame local.rules faili ühe reegli<br />
<br />
vim /etc/suricata/rules/local.rules<br />
<br />
alert ip any any -> any any (msg:"ICMP detected"; sid:2; rev:1;)<br />
<br />
2. Lisame Suricata kofiguratsiooni kohalike reeglite faili.<br />
<br />
vim /etc/suricata/suricata.yaml<br />
<br />
Otsime üles rea "rule-files" ja lisame sinna alla esimese reana local.rules faili.<br />
<br />
rule-files:<br />
- local.rules<br />
- botcc.rules<br />
- ciarmy.rules<br />
- compromised.rules<br />
- drop.rules<br />
- dshield.rules<br />
- emerging-activex.rules<br />
- emerging-attack_response.rules<br />
- emerging-chat.rules<br />
- emerging-current_events.rules<br />
- emerging-dns.rules<br />
- emerging-dos.rules<br />
- emerging-exploit.rules<br />
- emerging-ftp.rules<br />
...<br />
<br />
3. Reegli testimiseks käivitame Suricata ning seadistame kuulama eth1 võrguliidese peale, mille eelnevalt seadistasime valimatusse režiimi.<br />
<br />
suricata -c /etc/suricata/suricata.yaml -i eth1<br />
<br />
4. Pingime kliendi masinast IDS serverit<br />
<br />
ping ids<br />
<br />
5. Kõrvale avame teise ssh ühenduse ids serverisse ja avame Suricata logi<br />
<br />
tail -f /var/log/suricata/fast.log<br />
<br />
Näeme, et logisse lisanduvad teated reeglile vastavast liiklusest<br />
<br />
05/25/2014-13:03:58.407499 [**] [1:2:1] ICMP detected [**] [Classification: (null)] [Priority: 3] {ICMP} 192.168.56.3:8 -> 192.168.56.2:0<br />
05/25/2014-13:03:58.407526 [**] [1:2:1] ICMP detected [**] [Classification: (null)] [Priority: 3] {ICMP} 192.168.56.2:0 -> 192.168.56.3:0<br />
05/25/2014-13:03:59.407073 [**] [1:2:1] ICMP detected [**] [Classification: (null)] [Priority: 3] {ICMP} 192.168.56.3:8 -> 192.168.56.2:0<br />
05/25/2014-13:03:59.407097 [**] [1:2:1] ICMP detected [**] [Classification: (null)] [Priority: 3] {ICMP} 192.168.56.2:0 -> 192.168.56.3:0<br />
<br />
<br />
===Oinkmaster üles seadmine reeglikogumike uuendamiseks===<br />
<br />
1. Paigaldame OinkMasteri<br />
<br />
apt-get install oinkmaster<br />
<br />
On olemas mitmed reeglikogumikke. Praegusel juhul kasutame Emerging Threats (ET) reeglikogumikku.<br />
<br />
Oinkmaster peab teada, kust saab reeglikogumikku alla laadida:<br />
http://rules.emergingthreats.net/open/suricata/emerging.rules.tar.gz<br />
<br />
2. Selle lingi lisamiseks avame oinkmaster.conf faili:<br />
<br />
vim /etc/oinkmaster.conf<br />
<br />
3. Leiame üles rea ET reeglite veebilehele (vim puhul saab otsingut teostada sisestades kõigepealt "/" ning seejärel otsingu stringi):<br />
<br />
/Emerging Threats<br />
<br />
4. Lisame hüperlingi:<br />
<br />
url = http://rules.emergingthreats.net/open/suricata/emerging.rules.tar.gz<br />
<br />
<br />
Pärast muudatuse sisse viimist näeb faili sektsiooni välja selline:<br />
<br />
# Example for rules from the Emerging Threats site (previously known as Bleeding Snort).<br />
# url = http://www.emergingthreats.net/rules/emerging.rules.tar.gz<br />
# Old url:<br />
# url = http://www.bleedingsnort.com/downloads/bleeding.rules.tar.gz<br />
url = http://rules.emergingthreats.net/open/suricata/emerging.rules.tar.gz<br />
<br />
5. Salvesta ja välju failist. Vim puhul, väljuda paoklahviga sisestus režiimist ning seejärel ":wq".<br />
<br />
<br />
6. Uuendame reeglikogumiku:<br />
<br />
cd /etc<br />
oinkmaster -C /etc/oinkmaster.conf -o /etc/suricata/rules<br />
<br />
7. Pärast reeglite alla laadimist ja lahti pakkimist on reeglite kaustast leitavad ka kaks faili nimedega classification. config ja reference.config. Mõlemad on vaja lisada Suricata konfiguratsiooni faili:<br />
<br />
vim /etc/suricata/suricata.yaml<br />
<br />
Konfiguratsioonis otsime üles rea"classification-file" ning muudame ära vajalikud parameetrid. Lõpptulemusena saame: <br />
<br />
classification-file: /etc/suricata/rules/classification.config<br />
reference-config-file: /etc/suricata/rules/reference.config<br />
<br />
8. Testimiseks käivitame suricata:<br />
<br />
suricata -c /etc/suricata/suricata.yaml -i eth1<br />
<br />
9. Käivitamisel näeme, et mitmed reegli failid pole saadaval. Nende mitte kasutamiseks saame suricata.yaml faili rule-files sektsioonis lisada konkreetse reegli faili ette #.<br />
<br />
vim /etc/suricata.yaml<br />
<br />
Lisame # kahe faili ette:<br />
<br />
# - emerging-icmp.rules<br />
# - dns-events.rules<br />
<br />
10. Salvestame ja väljume.<br />
<br />
11. Reeglite hilisemaks uuendamiseks käivitame käsu:<br />
<br />
oinkmaster -C /etc/oinkmaster.conf -o /etc/suricata/rules<br />
<br />
<br />
'''Soovituslik on reegleid tihti uuendada. ET reeglikogumikku uuendatakse korra päevas.'''<br />
<br />
<br />
===Automaatne uuendamine oinkmasteri abil===<br />
<br />
Et muuta reeglite uuendamine lihtsaks ja automaatseks, seadistame croni töö oinkmasteri automaatseks käivitamiseks.<br />
<br />
1. Loome reeglite varundamiseks kausta.<br />
<br />
mkdir /etc/suricata/backup<br />
<br />
2. Lisame uue kasutaja oinkmaster<br />
<br />
useradd oinkmaster<br />
<br />
3. Muudame mõningad failiõigused.<br />
<br />
chown -R oinkmaster /etc/suricata/backup<br />
chown -R oinkmaster /etc/suricata/rules<br />
<br />
4. Testime, kas töötab<br />
<br />
su oinkmaster<br />
oinkmaster -C /etc/oinkmaster.conf -o /etc/suricata/rules -b /etc/suricata/backup 2>&1<br />
<br />
5. Kuna me tahame seda iga päev käivitada, siis lisame crontabi alla vastava töö<br />
<br />
crontab -e -u oinkmaster<br />
<br />
30 00 * * * oinkmaster -o /etc/snort/rules -b /etc/snort/backup 2>&1 >> /dev/null 2>&1<br />
<br />
<br />
===Reeglikogumike optimeerimine===<br />
<br />
Mida rohkem reegleid on kasutuses, seda rohkem ressurssi on vaja pakettide analüüsimiseks.<br />
Seega mõtekas on keelata need reeglid, mis käivad tehnoloogiate või teenuste vastu mida asutuse infrastruktuuris ei esine.<br />
<br />
Kõigepealt keelame mõned üldised grupid. Selleks avame uuesti Suricata konfiguratsiooni faili:<br />
<br />
vim /etc/suricata/suricata.yaml<br />
<br />
Otsime üles rea "rule-files".<br />
<br />
/rule-files<br />
<br />
Reegli grupi keelamiseks on vaja konkreetne reegli faili välja kommenteerida, lisades rea ette #.<br />
<br />
Oletame, et poliitikatega on infrastruktuuris keelatud ActiveX tehnoloogia kasutamine, ei leia kasutust ftp protokoll ning ei ole ka SCADA seadmeid. <br />
<br />
'''Ülesanne'''<br />
Otsida suricata.yaml failist üles sektsioon "rule-files:" ning kommenteerida välja need 3 reeglite faili mis käsitlevad neid teenuseid (Active-X; FTP; SCADA).<br />
<br />
===Üksiku või mitme reegli keelamine===<br />
<br />
Üksiku reegli või mitme reegli lubamiseks/keelamiseks on vaja leida reegli sid. Seda seetõttu, et sid alusel saab reegli keelata oinkmasteri konfiguratsioonis. Sellisel juhul jääb reegel keelatuks ka pärast reeglikogumiku uuendamist.<br />
<br />
Antud näite puhul ütleme, et asutus on paiganud kõigi Linuxi serverite OpenSSL teegid ning seeläbi kõrvaldanud HeartBleed nimelise nõrkuse. Seega kõik reeglid, mis käsitlevad seda nõrkust võib keelata.<br />
<br />
1. Otsime üles kõik HeartBleedi käsitlevad reeglid.<br />
<br />
cd /etc/suricata/rules<br />
grep -R "HeartBleed"<br />
<br />
<br />
Leiame, et HeartBleedi käsitlevaid reegleid on 6. Kuigi väljastati 12 rida on esimesed 6 rida pärit sid-msg.map failist, kus hoitakse teadete ja reegli id vahelisi seoseid seega need võib välja jätta.<br />
<br />
2. Eraldame välja kõigi 6 reegli sid tunnused.<br />
<br />
grep -R "HeartBleed" | grep -P -o "sid\:\d+" | grep -o -P "\d{2,}+" | tr '\n' ',' >> /etc/oinkmaster.conf<br />
<br />
Üleval nähtava käsuga, filtreerime reegli failidest rekursiivselt välja kõik read kus sisaldub sõna HeartBleed, seejärel eraldame nendest ridadest sid tunnused ja puhastame read üleliigsest. Viimaks asendame tr käsu abil reavahetused komaga ja kirjutame tekkinud rea Oinkmasteri konfiguratsiooni faili lõppu.<br />
<br />
<br />
3. Avame Oinkmasteri konfiguratsiooni ja kerime faili lõppu. Eelmise käsuga sinna kirjutatud sid tunnused on meid ootamas.<br />
<br />
vim /etc/oinkmaster.conf<br />
<br />
4. Kirjutame sid tunnuste ette parameetri "disablesid" ning rea lõppu lisame # ja kommentaari. Lõpptulemusena näeb oinkmasteri konfiguratsiooni faili viimane rida välja selline:<br />
<br />
disablesid 2018377, 2018378, 2018382, 2018383, 2018388, 2018389 # Ei ole enam HeartBleedi haavatavust<br />
<br />
5. Salvestame ja väljume.<br />
<br />
6. Kui käivitame Oinkmasteri uuenduse uuesti, siis näeme millised ja kui mitu reeglit on keelatud.<br />
<br />
oinkmaster -C /etc/oinkmaster.conf -o /etc/suricata/rules<br />
<br />
==Kursuse avaleht==<br />
<br />
[[Sissetungi tuvastuse systeemid]]</div>Aellikuhttps://wiki.itcollege.ee/index.php?title=IDS_Systeemid_-_Labor_1&diff=76262IDS Systeemid - Labor 12014-05-27T20:23:03Z<p>Aelliku: /* Reeglikogumike optimiseerimine */</p>
<hr />
<div>=Labor 1=<br />
<br />
Labori käigus paigaldame Suricata ning testime selle töötamist.<br />
<br />
Seame paika reeglite uuendamise Oinkmasteri abil kasutades Emerging Threats reeglikogumikku ning optimeerime kasutatavat reeglikogumikku.<br />
<br />
==Ettevalmistused Suricata paigaldamiseks==<br />
<br />
===Seadistame eth1 võrguliidese valimatusse režiimi===<br />
<br />
1. Avame faili interfaces:<br />
<br />
vim /etc/network/interfaces<br />
<br />
2. Lisame eth1 parameetrid:<br />
<br />
auto eth1<br />
iface eth1 inet manual <br />
up ifconfig $IFACE 0.0.0.0 up<br />
up ip link set $IFACE promisc on<br />
down ip link set $IFACE promisc off <br />
down ifconfig $IFACE down<br />
<br />
3. Salvesta ja välju<br />
<br />
4. Teeme võrgu teenusele taaskäivituse<br />
<br />
service networking restart<br />
<br />
5. Kontrollime võrguliidest.<br />
<br />
ifconfig <br />
<br />
<br />
Käsu väljundis näeme kolmandas reas "UP BROADCAST RUNNING PROMISC":<br />
<br />
eth1 Link encap:Ethernet HWaddr 00:0c:29:32:bf:11<br />
inet6 addr: fe80::20c:29ff:fe32:bf11/64 Scope:Link<br />
UP BROADCAST RUNNING PROMISC MULTICAST MTU:1500 Metric:1 <br />
RX packets:1152 errors:0 dropped:0 overruns:0 frame:0 <br />
TX packets:62 errors:0 dropped:0 overruns:0 carrier:0 <br />
collisions:0 txqueuelen:1000 <br />
RX bytes:94351 (94.3 KB) TX bytes:17248 (17.2 KB)<br />
<br />
<br />
<br />
==Suricata paigaldus==<br />
<br />
1. Suricata kasutamisel Ubuntu distributsiooni peal on kõige lihtsam kasutada repositooriumi. Kõigepealt paigaldame paki nimega "python-software-properties", kuna selle sees asub programm "add-apt-repository", mida kasutame järgmisena.<br />
<br />
apt-get install python-software-properties<br />
<br />
2. Lisame repositooriumi ja piagaldame Suricata<br />
<br />
add-apt-repository ppa:oisf/suricata-stable<br />
apt-get update<br />
apt-get install suricata<br />
<br />
3. Suricata uuendamiseks saame kasutada<br />
<br />
apt-get update<br />
apt-get upgrade<br />
<br />
4. Eemaldamiseks<br />
<br />
apt-get remove suricata<br />
<br />
<br />
==Seadistamine==<br />
<br />
===Suricata parameetrite määramine===<br />
<br />
1. Loome logide kausta<br />
<br />
mkdir /var/log/suricata<br />
<br />
2. Avame Suricata konfiguratsiooni faili:<br />
<br />
vim /etc/suricata/suricata.yaml<br />
<br />
Kirjeldame kasutuses olevad operatsiooni süsteemid otsides "suricata.yaml" failist rida "host-os-policy" (VIM-i puhul saab otsimist teostada sisestades "/" ning seejärel otsitava teksti.)<br />
<br />
host-os-policy:<br />
# Make the default policy windows.<br />
windows: []<br />
bsd: []<br />
bsd-right: []<br />
old-linux: []<br />
linux: [192.168.56.200, 192.168.56.201, 192.168.56.101, 127.0.0.1]<br />
old-solaris: []<br />
solaris: []<br />
hpux10: []<br />
hpux11: []<br />
irix: []<br />
macos: []<br />
vista: []<br />
<br />
Kirjeldame ära aadresside grupid. Selleks otsime üles rea "address-groups"<br />
<br />
address-groups:<br />
HOME_NET: "[192.168.56.0/24]"<br />
EXTERNAL_NET: "!$HOME_NET"<br />
<br />
===Enda kirjutatud reeglid===<br />
<br />
1. Enda kirjutatud reeglite kasutamiseks loome faili local.rules<br />
<br />
touch /etc/suricata/rules/local.rules<br />
<br />
Lisame local.rules faili ühe reegli<br />
<br />
vim /etc/suricata/rules/local.rules<br />
<br />
alert ip any any -> any any (msg:"ICMP detected"; sid:2; rev:1;)<br />
<br />
2. Lisame Suricata kofiguratsiooni kohalike reeglite faili.<br />
<br />
vim /etc/suricata/suricata.yaml<br />
<br />
Otsime üles rea "rule-files" ja lisame sinna alla esimese reana local.rules faili.<br />
<br />
rule-files:<br />
- local.rules<br />
- botcc.rules<br />
- ciarmy.rules<br />
- compromised.rules<br />
- drop.rules<br />
- dshield.rules<br />
- emerging-activex.rules<br />
- emerging-attack_response.rules<br />
- emerging-chat.rules<br />
- emerging-current_events.rules<br />
- emerging-dns.rules<br />
- emerging-dos.rules<br />
- emerging-exploit.rules<br />
- emerging-ftp.rules<br />
...<br />
<br />
3. Reegli testimiseks käivitame Suricata ning seadistame kuulama eth1 võrguliidese peale, mille eelnevalt seadistasime valimatusse režiimi.<br />
<br />
suricata -c /etc/suricata/suricata.yaml -i eth1<br />
<br />
4. Pingime kliendi masinast IDS serverit<br />
<br />
ping ids<br />
<br />
5. Kõrvale avame teise ssh ühenduse ids serverisse ja avame Suricata logi<br />
<br />
tail -f /var/log/suricata/fast.log<br />
<br />
Näeme, et logisse lisanduvad teated reeglile vastavast liiklusest<br />
<br />
05/25/2014-13:03:58.407499 [**] [1:2:1] ICMP detected [**] [Classification: (null)] [Priority: 3] {ICMP} 192.168.56.3:8 -> 192.168.56.2:0<br />
05/25/2014-13:03:58.407526 [**] [1:2:1] ICMP detected [**] [Classification: (null)] [Priority: 3] {ICMP} 192.168.56.2:0 -> 192.168.56.3:0<br />
05/25/2014-13:03:59.407073 [**] [1:2:1] ICMP detected [**] [Classification: (null)] [Priority: 3] {ICMP} 192.168.56.3:8 -> 192.168.56.2:0<br />
05/25/2014-13:03:59.407097 [**] [1:2:1] ICMP detected [**] [Classification: (null)] [Priority: 3] {ICMP} 192.168.56.2:0 -> 192.168.56.3:0<br />
<br />
<br />
===Oinkmaster üles seadmine reeglikogumike uuendamiseks===<br />
<br />
1. Paigaldame OinkMasteri<br />
<br />
apt-get install oinkmaster<br />
<br />
On olemas mitmed reeglikogumikke. Praegusel juhul kasutame Emerging Threats (ET) reeglikogumikku.<br />
<br />
Oinkmaster peab teada, kust saab reeglikogumikku alla laadida:<br />
http://rules.emergingthreats.net/open/suricata/emerging.rules.tar.gz<br />
<br />
2. Selle lingi lisamiseks avame oinkmaster.conf faili:<br />
<br />
vim /etc/oinkmaster.conf<br />
<br />
3. Leiame üles rea ET reeglite veebilehele (vim puhul saab otsingut teostada sisestades kõigepealt "/" ning seejärel otsingu stringi):<br />
<br />
/Emerging Threats<br />
<br />
4. Lisame hüperlingi:<br />
<br />
url = http://rules.emergingthreats.net/open/suricata/emerging.rules.tar.gz<br />
<br />
<br />
Pärast muudatuse sisse viimist näeb faili sektsiooni välja selline:<br />
<br />
# Example for rules from the Emerging Threats site (previously known as Bleeding Snort).<br />
# url = http://www.emergingthreats.net/rules/emerging.rules.tar.gz<br />
# Old url:<br />
# url = http://www.bleedingsnort.com/downloads/bleeding.rules.tar.gz<br />
url = http://rules.emergingthreats.net/open/suricata/emerging.rules.tar.gz<br />
<br />
5. Salvesta ja välju failist. Vim puhul, väljuda paoklahviga sisestus režiimist ning seejärel ":wq".<br />
<br />
<br />
6. Uuendame reeglikogumiku:<br />
<br />
cd /etc<br />
oinkmaster -C /etc/oinkmaster.conf -o /etc/suricata/rules<br />
<br />
7. Pärast reeglite alla laadimist ja lahti pakkimist on reeglite kaustast leitavad ka kaks faili nimedega classification. config ja reference.config. Mõlemad on vaja lisada Suricata konfiguratsiooni faili:<br />
<br />
vim /etc/suricata/suricata.yaml<br />
<br />
Konfiguratsioonis otsime üles rea"classification-file" ning muudame ära vajalikud parameetrid. Lõpptulemusena saame: <br />
<br />
classification-file: /etc/suricata/rules/classification.config<br />
reference-config-file: /etc/suricata/rules/reference.config<br />
<br />
8. Testimiseks käivitame suricata:<br />
<br />
suricata -c /etc/suricata/suricata.yaml -i eth1<br />
<br />
9. Käivitamisel näeme, et mitmed reegli failid pole saadaval. Nende mitte kasutamiseks saame suricata.yaml faili rule-files sektsioonis lisada konkreetse reegli faili ette #.<br />
<br />
vim /etc/suricata.yaml<br />
<br />
Lisame # kahe faili ette:<br />
<br />
# - emerging-icmp.rules<br />
# - dns-events.rules<br />
<br />
10. Salvestame ja väljume.<br />
<br />
11. Reeglite hilisemaks uuendamiseks käivitame käsu:<br />
<br />
oinkmaster -C /etc/oinkmaster.conf -o /etc/suricata/rules<br />
<br />
<br />
'''Soovituslik on reegleid tihti uuendada. ET reeglikogumikku uuendatakse korra päevas.'''<br />
<br />
<br />
===Automaatne uuendamine oinkmasteri abil===<br />
<br />
Et muuta reeglite uuendamine lihtsaks ja automaatseks, seadistame croni töö oinkmasteri automaatseks käivitamiseks.<br />
<br />
1. Loome reeglite varundamiseks kausta.<br />
<br />
mkdir /etc/suricata/backup<br />
<br />
2. Lisame uue kasutaja oinkmaster<br />
<br />
useradd oinkmaster<br />
<br />
3. Muudame mõningad failiõigused.<br />
<br />
chown -R oinkmaster /etc/suricata/backup<br />
chown -R oinkmaster /etc/suricata/rules<br />
<br />
4. Testime, kas töötab<br />
<br />
su oinkmaster<br />
oinkmaster -C /etc/oinkmaster.conf -o /etc/suricata/rules -b /etc/suricata/backup 2>&1<br />
<br />
5. Kuna me tahame seda iga päev käivitada, siis lisame crontabi alla vastava töö<br />
<br />
crontab -e -u oinkmaster<br />
<br />
30 00 * * * oinkmaster -o /etc/snort/rules -b /etc/snort/backup 2>&1 >> /dev/null 2>&1<br />
<br />
<br />
===Reeglikogumike optimeerimine===<br />
<br />
Mida rohkem reegleid on kasutuses, seda rohkem ressurssi on vaja pakettide analüüsimiseks.<br />
Seega mõtekas on keelata need reeglid, mis käivad tehnoloogiate või teenuste vastu mida asutuse infrastruktuuris ei esine.<br />
<br />
Kõigepealt keelame mõned üldised grupid. Selleks avame uuesti Suricata konfiguratsiooni faili:<br />
<br />
vim /etc/suricata/suricata.yaml<br />
<br />
Otsime üles rea "rule-files".<br />
<br />
/rule-files<br />
<br />
Reegli grupi keelamiseks on vaja konkreetne reegli faili välja kommenteerida, lisades rea ette #.<br />
<br />
Oletame, et poliitikatega on infrastruktuuris keelatud ActiveX tehnoloogia kasutamine, ei leia kasutust ftp protokoll ning ei ole ka SCADA seadmeid. <br />
<br />
'''Ülesanne'''<br />
Otsida suricata.yaml failist üles sektsioon "rule-files:" ning kommenteerida välja need 3 reeglite faili mis käsitlevad neid teenuseid (Active-X; FTP; SCADA).<br />
<br />
===Üksiku või mitme reegli keelamine===<br />
<br />
Üksiku reegli või mitme reegli keelamiseks on vaja leida reegli sid. Seda seetõttu, et sid alusel saab reegli keelata oinkmasteri konfiguratsioonis. Sellisel juhul jääb reegel keelatuks ka pärast reeglikogumiku uuendamist.<br />
<br />
Antud näite puhul ütleme, et asutus on paiganud kõigi Linuxi serverite OpenSSL teegid ning seeläbi kõrvaldanud HeartBleed nimelise nõrkuse. Seega kõik reeglid, mis käsitlevad seda nõrkust võib keelata.<br />
<br />
1. Otsime üles kõik HeartBleedi käsitlevad reeglid.<br />
<br />
cd /etc/suricata/rules<br />
grep -R "HeartBleed"<br />
<br />
<br />
Leiame, et HeartBleedi käsitlevaid reegleid on 6. Kuigi väljastati 12 rida on esimesed 6 rida pärit sid-msg.map failist, kus hoitakse teadete ja reegli id vahelisi seoseid seega need võib välja jätta.<br />
<br />
2. Eraldame välja kõigi 6 reegli sid tunnused.<br />
<br />
grep -R "HeartBleed" | grep -P -o "sid\:\d+" | grep -o -P "\d{2,}+" | tr '\n' ',' >> /etc/oinkmaster.conf<br />
<br />
Üleval nähtava käsuga, filtreerime reegli failidest rekursiivselt välja kõik read kus sisaldub sõna HeartBleed, seejärel eraldame nendest ridadest sid tunnused ja puhastame read üleliigsest. Viimaks asendame tr käsu abil reavahetused komaga ja kirjutame tekkinud rea Oinkmasteri konfiguratsiooni faili lõppu.<br />
<br />
<br />
3. Avame Oinkmasteri konfiguratsiooni ja kerime faili lõppu. Eelmise käsuga sinna kirjutatud sid tunnused on meid ootamas.<br />
<br />
vim /etc/oinkmaster.conf<br />
<br />
4. Kirjutame sid tunnuste ette parameetri "disablesid" ning rea lõppu lisame # ja kommentaari. Lõpptulemusena näeb oinkmasteri konfiguratsiooni faili viimane rida välja selline:<br />
<br />
disablesid 2018377, 2018378, 2018382, 2018383, 2018388, 2018389 # Ei ole enam HeartBleedi haavatavust<br />
<br />
5. Salvestame ja väljume.<br />
<br />
6. Kui käivitame Oinkmasteri uuenduse uuesti, siis näeme millised ja kui mitu reeglit on keelatud.<br />
<br />
oinkmaster -C /etc/oinkmaster.conf -o /etc/suricata/rules<br />
<br />
<br />
==Kursuse avaleht==<br />
<br />
[[Sissetungi tuvastuse systeemid]]</div>Aellikuhttps://wiki.itcollege.ee/index.php?title=IDS_Systeemid_-_Labor_1&diff=76261IDS Systeemid - Labor 12014-05-27T20:22:33Z<p>Aelliku: </p>
<hr />
<div>=Labor 1=<br />
<br />
Labori käigus paigaldame Suricata ning testime selle töötamist.<br />
<br />
Seame paika reeglite uuendamise Oinkmasteri abil kasutades Emerging Threats reeglikogumikku ning optimeerime kasutatavat reeglikogumikku.<br />
<br />
==Ettevalmistused Suricata paigaldamiseks==<br />
<br />
===Seadistame eth1 võrguliidese valimatusse režiimi===<br />
<br />
1. Avame faili interfaces:<br />
<br />
vim /etc/network/interfaces<br />
<br />
2. Lisame eth1 parameetrid:<br />
<br />
auto eth1<br />
iface eth1 inet manual <br />
up ifconfig $IFACE 0.0.0.0 up<br />
up ip link set $IFACE promisc on<br />
down ip link set $IFACE promisc off <br />
down ifconfig $IFACE down<br />
<br />
3. Salvesta ja välju<br />
<br />
4. Teeme võrgu teenusele taaskäivituse<br />
<br />
service networking restart<br />
<br />
5. Kontrollime võrguliidest.<br />
<br />
ifconfig <br />
<br />
<br />
Käsu väljundis näeme kolmandas reas "UP BROADCAST RUNNING PROMISC":<br />
<br />
eth1 Link encap:Ethernet HWaddr 00:0c:29:32:bf:11<br />
inet6 addr: fe80::20c:29ff:fe32:bf11/64 Scope:Link<br />
UP BROADCAST RUNNING PROMISC MULTICAST MTU:1500 Metric:1 <br />
RX packets:1152 errors:0 dropped:0 overruns:0 frame:0 <br />
TX packets:62 errors:0 dropped:0 overruns:0 carrier:0 <br />
collisions:0 txqueuelen:1000 <br />
RX bytes:94351 (94.3 KB) TX bytes:17248 (17.2 KB)<br />
<br />
<br />
<br />
==Suricata paigaldus==<br />
<br />
1. Suricata kasutamisel Ubuntu distributsiooni peal on kõige lihtsam kasutada repositooriumi. Kõigepealt paigaldame paki nimega "python-software-properties", kuna selle sees asub programm "add-apt-repository", mida kasutame järgmisena.<br />
<br />
apt-get install python-software-properties<br />
<br />
2. Lisame repositooriumi ja piagaldame Suricata<br />
<br />
add-apt-repository ppa:oisf/suricata-stable<br />
apt-get update<br />
apt-get install suricata<br />
<br />
3. Suricata uuendamiseks saame kasutada<br />
<br />
apt-get update<br />
apt-get upgrade<br />
<br />
4. Eemaldamiseks<br />
<br />
apt-get remove suricata<br />
<br />
<br />
==Seadistamine==<br />
<br />
===Suricata parameetrite määramine===<br />
<br />
1. Loome logide kausta<br />
<br />
mkdir /var/log/suricata<br />
<br />
2. Avame Suricata konfiguratsiooni faili:<br />
<br />
vim /etc/suricata/suricata.yaml<br />
<br />
Kirjeldame kasutuses olevad operatsiooni süsteemid otsides "suricata.yaml" failist rida "host-os-policy" (VIM-i puhul saab otsimist teostada sisestades "/" ning seejärel otsitava teksti.)<br />
<br />
host-os-policy:<br />
# Make the default policy windows.<br />
windows: []<br />
bsd: []<br />
bsd-right: []<br />
old-linux: []<br />
linux: [192.168.56.200, 192.168.56.201, 192.168.56.101, 127.0.0.1]<br />
old-solaris: []<br />
solaris: []<br />
hpux10: []<br />
hpux11: []<br />
irix: []<br />
macos: []<br />
vista: []<br />
<br />
Kirjeldame ära aadresside grupid. Selleks otsime üles rea "address-groups"<br />
<br />
address-groups:<br />
HOME_NET: "[192.168.56.0/24]"<br />
EXTERNAL_NET: "!$HOME_NET"<br />
<br />
===Enda kirjutatud reeglid===<br />
<br />
1. Enda kirjutatud reeglite kasutamiseks loome faili local.rules<br />
<br />
touch /etc/suricata/rules/local.rules<br />
<br />
Lisame local.rules faili ühe reegli<br />
<br />
vim /etc/suricata/rules/local.rules<br />
<br />
alert ip any any -> any any (msg:"ICMP detected"; sid:2; rev:1;)<br />
<br />
2. Lisame Suricata kofiguratsiooni kohalike reeglite faili.<br />
<br />
vim /etc/suricata/suricata.yaml<br />
<br />
Otsime üles rea "rule-files" ja lisame sinna alla esimese reana local.rules faili.<br />
<br />
rule-files:<br />
- local.rules<br />
- botcc.rules<br />
- ciarmy.rules<br />
- compromised.rules<br />
- drop.rules<br />
- dshield.rules<br />
- emerging-activex.rules<br />
- emerging-attack_response.rules<br />
- emerging-chat.rules<br />
- emerging-current_events.rules<br />
- emerging-dns.rules<br />
- emerging-dos.rules<br />
- emerging-exploit.rules<br />
- emerging-ftp.rules<br />
...<br />
<br />
3. Reegli testimiseks käivitame Suricata ning seadistame kuulama eth1 võrguliidese peale, mille eelnevalt seadistasime valimatusse režiimi.<br />
<br />
suricata -c /etc/suricata/suricata.yaml -i eth1<br />
<br />
4. Pingime kliendi masinast IDS serverit<br />
<br />
ping ids<br />
<br />
5. Kõrvale avame teise ssh ühenduse ids serverisse ja avame Suricata logi<br />
<br />
tail -f /var/log/suricata/fast.log<br />
<br />
Näeme, et logisse lisanduvad teated reeglile vastavast liiklusest<br />
<br />
05/25/2014-13:03:58.407499 [**] [1:2:1] ICMP detected [**] [Classification: (null)] [Priority: 3] {ICMP} 192.168.56.3:8 -> 192.168.56.2:0<br />
05/25/2014-13:03:58.407526 [**] [1:2:1] ICMP detected [**] [Classification: (null)] [Priority: 3] {ICMP} 192.168.56.2:0 -> 192.168.56.3:0<br />
05/25/2014-13:03:59.407073 [**] [1:2:1] ICMP detected [**] [Classification: (null)] [Priority: 3] {ICMP} 192.168.56.3:8 -> 192.168.56.2:0<br />
05/25/2014-13:03:59.407097 [**] [1:2:1] ICMP detected [**] [Classification: (null)] [Priority: 3] {ICMP} 192.168.56.2:0 -> 192.168.56.3:0<br />
<br />
<br />
===Oinkmaster üles seadmine reeglikogumike uuendamiseks===<br />
<br />
1. Paigaldame OinkMasteri<br />
<br />
apt-get install oinkmaster<br />
<br />
On olemas mitmed reeglikogumikke. Praegusel juhul kasutame Emerging Threats (ET) reeglikogumikku.<br />
<br />
Oinkmaster peab teada, kust saab reeglikogumikku alla laadida:<br />
http://rules.emergingthreats.net/open/suricata/emerging.rules.tar.gz<br />
<br />
2. Selle lingi lisamiseks avame oinkmaster.conf faili:<br />
<br />
vim /etc/oinkmaster.conf<br />
<br />
3. Leiame üles rea ET reeglite veebilehele (vim puhul saab otsingut teostada sisestades kõigepealt "/" ning seejärel otsingu stringi):<br />
<br />
/Emerging Threats<br />
<br />
4. Lisame hüperlingi:<br />
<br />
url = http://rules.emergingthreats.net/open/suricata/emerging.rules.tar.gz<br />
<br />
<br />
Pärast muudatuse sisse viimist näeb faili sektsiooni välja selline:<br />
<br />
# Example for rules from the Emerging Threats site (previously known as Bleeding Snort).<br />
# url = http://www.emergingthreats.net/rules/emerging.rules.tar.gz<br />
# Old url:<br />
# url = http://www.bleedingsnort.com/downloads/bleeding.rules.tar.gz<br />
url = http://rules.emergingthreats.net/open/suricata/emerging.rules.tar.gz<br />
<br />
5. Salvesta ja välju failist. Vim puhul, väljuda paoklahviga sisestus režiimist ning seejärel ":wq".<br />
<br />
<br />
6. Uuendame reeglikogumiku:<br />
<br />
cd /etc<br />
oinkmaster -C /etc/oinkmaster.conf -o /etc/suricata/rules<br />
<br />
7. Pärast reeglite alla laadimist ja lahti pakkimist on reeglite kaustast leitavad ka kaks faili nimedega classification. config ja reference.config. Mõlemad on vaja lisada Suricata konfiguratsiooni faili:<br />
<br />
vim /etc/suricata/suricata.yaml<br />
<br />
Konfiguratsioonis otsime üles rea"classification-file" ning muudame ära vajalikud parameetrid. Lõpptulemusena saame: <br />
<br />
classification-file: /etc/suricata/rules/classification.config<br />
reference-config-file: /etc/suricata/rules/reference.config<br />
<br />
8. Testimiseks käivitame suricata:<br />
<br />
suricata -c /etc/suricata/suricata.yaml -i eth1<br />
<br />
9. Käivitamisel näeme, et mitmed reegli failid pole saadaval. Nende mitte kasutamiseks saame suricata.yaml faili rule-files sektsioonis lisada konkreetse reegli faili ette #.<br />
<br />
vim /etc/suricata.yaml<br />
<br />
Lisame # kahe faili ette:<br />
<br />
# - emerging-icmp.rules<br />
# - dns-events.rules<br />
<br />
10. Salvestame ja väljume.<br />
<br />
11. Reeglite hilisemaks uuendamiseks käivitame käsu:<br />
<br />
oinkmaster -C /etc/oinkmaster.conf -o /etc/suricata/rules<br />
<br />
<br />
'''Soovituslik on reegleid tihti uuendada. ET reeglikogumikku uuendatakse korra päevas.'''<br />
<br />
<br />
===Automaatne uuendamine oinkmasteri abil===<br />
<br />
Et muuta reeglite uuendamine lihtsaks ja automaatseks, seadistame croni töö oinkmasteri automaatseks käivitamiseks.<br />
<br />
1. Loome reeglite varundamiseks kausta.<br />
<br />
mkdir /etc/suricata/backup<br />
<br />
2. Lisame uue kasutaja oinkmaster<br />
<br />
useradd oinkmaster<br />
<br />
3. Muudame mõningad failiõigused.<br />
<br />
chown -R oinkmaster /etc/suricata/backup<br />
chown -R oinkmaster /etc/suricata/rules<br />
<br />
4. Testime, kas töötab<br />
<br />
su oinkmaster<br />
oinkmaster -C /etc/oinkmaster.conf -o /etc/suricata/rules -b /etc/suricata/backup 2>&1<br />
<br />
5. Kuna me tahame seda iga päev käivitada, siis lisame crontabi alla vastava töö<br />
<br />
crontab -e -u oinkmaster<br />
<br />
30 00 * * * oinkmaster -o /etc/snort/rules -b /etc/snort/backup 2>&1 >> /dev/null 2>&1<br />
<br />
<br />
===Reeglikogumike optimiseerimine===<br />
<br />
Mida rohkem reegleid on kasutuses, seda rohkem ressurssi on vaja pakettide analüüsimiseks.<br />
Seega mõtekas on keelata need reeglid, mis käivad tehnoloogiate või teenuste vastu mida asutuse infrastruktuuris ei esine.<br />
<br />
Kõigepealt keelame mõned üldised grupid. Selleks avame uuesti Suricata konfiguratsiooni faili:<br />
<br />
vim /etc/suricata/suricata.yaml<br />
<br />
Otsime üles rea "rule-files".<br />
<br />
/rule-files<br />
<br />
Reegli grupi keelamiseks on vaja konkreetne reegli faili välja kommenteerida, lisades rea ette #.<br />
<br />
Oletame, et poliitikatega on infrastruktuuris keelatud ActiveX tehnoloogia kasutamine, ei leia kasutust ftp protokoll ning ei ole ka SCADA seadmeid. <br />
<br />
'''Ülesanne'''<br />
Otsida suricata.yaml failist üles sektsioon "rule-files:" ning kommenteerida välja need 3 reeglite faili mis käsitlevad neid teenuseid (Active-X; FTP; SCADA).<br />
<br />
<br />
===Üksiku või mitme reegli keelamine===<br />
<br />
Üksiku reegli või mitme reegli keelamiseks on vaja leida reegli sid. Seda seetõttu, et sid alusel saab reegli keelata oinkmasteri konfiguratsioonis. Sellisel juhul jääb reegel keelatuks ka pärast reeglikogumiku uuendamist.<br />
<br />
Antud näite puhul ütleme, et asutus on paiganud kõigi Linuxi serverite OpenSSL teegid ning seeläbi kõrvaldanud HeartBleed nimelise nõrkuse. Seega kõik reeglid, mis käsitlevad seda nõrkust võib keelata.<br />
<br />
1. Otsime üles kõik HeartBleedi käsitlevad reeglid.<br />
<br />
cd /etc/suricata/rules<br />
grep -R "HeartBleed"<br />
<br />
<br />
Leiame, et HeartBleedi käsitlevaid reegleid on 6. Kuigi väljastati 12 rida on esimesed 6 rida pärit sid-msg.map failist, kus hoitakse teadete ja reegli id vahelisi seoseid seega need võib välja jätta.<br />
<br />
2. Eraldame välja kõigi 6 reegli sid tunnused.<br />
<br />
grep -R "HeartBleed" | grep -P -o "sid\:\d+" | grep -o -P "\d{2,}+" | tr '\n' ',' >> /etc/oinkmaster.conf<br />
<br />
Üleval nähtava käsuga, filtreerime reegli failidest rekursiivselt välja kõik read kus sisaldub sõna HeartBleed, seejärel eraldame nendest ridadest sid tunnused ja puhastame read üleliigsest. Viimaks asendame tr käsu abil reavahetused komaga ja kirjutame tekkinud rea Oinkmasteri konfiguratsiooni faili lõppu.<br />
<br />
<br />
3. Avame Oinkmasteri konfiguratsiooni ja kerime faili lõppu. Eelmise käsuga sinna kirjutatud sid tunnused on meid ootamas.<br />
<br />
vim /etc/oinkmaster.conf<br />
<br />
4. Kirjutame sid tunnuste ette parameetri "disablesid" ning rea lõppu lisame # ja kommentaari. Lõpptulemusena näeb oinkmasteri konfiguratsiooni faili viimane rida välja selline:<br />
<br />
disablesid 2018377, 2018378, 2018382, 2018383, 2018388, 2018389 # Ei ole enam HeartBleedi haavatavust<br />
<br />
5. Salvestame ja väljume.<br />
<br />
6. Kui käivitame Oinkmasteri uuenduse uuesti, siis näeme millised ja kui mitu reeglit on keelatud.<br />
<br />
oinkmaster -C /etc/oinkmaster.conf -o /etc/suricata/rules<br />
<br />
<br />
==Kursuse avaleht==<br />
<br />
[[Sissetungi tuvastuse systeemid]]</div>Aellikuhttps://wiki.itcollege.ee/index.php?title=Sissetungi_tuvastuse_systeemid&diff=76260Sissetungi tuvastuse systeemid2014-05-27T08:24:12Z<p>Aelliku: </p>
<hr />
<div>=Üldinfo=<br />
'''Kuna antud kursus on hetkel piloteerimisel, siis leitud vigadest palun teada anda e-posti aadressil andres.elliku@itcollege.ee'''<br />
<br />
Hindamisviis: Arvestus<br />
<br />
==Õpijuhend==<br />
<br />
[[IDS systeemid - Opijuhis]]<br />
<br />
'''Rangelt soovituslik aine:''' Operatsioonisüsteemide administreerimine ja sidumine (I233)<br />
<br />
==Õppejõud==<br />
<br />
=Eesmärk ja sisu=<br />
Tutvustada sissetungi tuvastuse süsteemide (edaspidi IDS) põhimõisteid. Anda oskused nende paigaldamiseks ja haldamiseks. Kursus sisaldab teoreetilisi materjale alus- ja põhimõistete tutvustamiseks, laboratoorseid töid, mille käigus paigaldatakse IDS lahendus, teostatakse põhilisi IDS süsteemi haldustoiminguid ning simuleeritakse võrgurünnete tuvastamist. <br />
<br />
=Loengud=<br />
<br />
[[IDS systeemid - Sissejuhatus]]<br />
<br />
[[IDS systeemid - Reeglid ja reeglikogumikud]]<br />
<br />
=Praktilised ülesanded=<br />
<br />
[[IDS Systeemid - Labor 1]]<br />
<br />
=Abimaterjal=<br />
<br />
[[https://redmine.openinfosecfoundation.org/projects/suricata/wiki/Suricata_User_Guide Suricata kasutusjuhend]]</div>Aellikuhttps://wiki.itcollege.ee/index.php?title=IDS_systeemid_-_Opijuhis&diff=76259IDS systeemid - Opijuhis2014-05-27T08:19:57Z<p>Aelliku: </p>
<hr />
<div>=Õpijuhis=<br />
<br />
Õpijuhise alusel saab õppur planeerida õppematerjalide läbimist.<br />
<br />
==Eeldusaine ja eelteadmiste testid==<br />
<br />
IT Kolledži tudengitele on rangelt soovituslik eeldusaine Operatsioonisüsteemide administreerimine ja sidumine (I233)<br />
<br />
Teistele õppuritele ja tudengitele kes kahtlevad oma teadmistes on sobilikuks eeldustestiks:<br />
<br />
[[https://docs.google.com/document/d/17rlW8fU1LZOcQxO3bt12mba3frd7Xrkc9X2ytSKR-vA/edit?pli=1 Päevaõppe kontrolltöö 1 Sügis 2013]]<br />
<br />
Testis peaks saama minimaalselt 17 punkti 20 enne käesoleva kursuse läbimist.<br />
<br />
==Kursuse ülesehitus==<br />
<br />
Kursuse avalehel on lingid loengutele ja praktikumidele. <br />
<br />
Esmalt läbi töödata kõik loengu materjalid ning vastata loengu materjalides olevatele küsimustele.<br />
<br />
Kui loengu materjalid on läbitud, siis asuda praktiliste ülesannete kallale.<br />
<br />
IT Kolledži tudeng saab laborite teostamiseks kasutada [[https://elab.itcollege.ee/users/sign_in IT Kolledži kaugtöö laborit]], kus on olemas eelseadistatud labori keskkonnad.<br />
<br />
Hinnanguliselt võtab kursuse läbimine:<br />
<br />
* Loengumaterjalid - umbes 2 tundi<br />
* Laborid 1-3 - Umbes 2 tundi labori kohta.<br />
<br />
Kokku tuleks kursuse läbimiseks arvestada 8 akadeemilist tundi.<br />
<br />
Kursuse mahuks on umbes 0,3 EAP. '''Kursus toimub e-õppena.'''<br />
<br />
==Kursuse moodulid==<br />
<br />
'''Loengud:'''<br />
* Esimeses loengus vaadatakse üle IDS lahenduste põhimõisted, taristusse paigutamine ning võrgu jälgimine.<br />
* Teine loeng käsitleb reeglite loomist, haldamist ja uuendamist.<br />
* Kolmandas loengus räägitakse lähemalt IPS režiimist.<br />
<br />
'''Laborid:'''<br />
*Esimeses laboris tuleb paigaldada IDS lahendus, defineerida enda kirjutatud reegel, seadistada reeglite uuendamine Oinkmasteri abil ja optimiseerida reeglikogumikku.<br />
*Teises laboris kasutatakse esimeses laboris loodud lahendust. Seega teise labori eelduseks on esimese labori läbimine. Teise labori eesmärkides on analüüsida rünnakut veebiserverile, luua rünnakut tuvastav reegel ja reegli abil leida rünnaku allikas või allikad.<br />
*Kolmas labor käsitleb IPS režiimi seadistamist ja liiklust keelava reegli katsetamist. <br />
<br />
==Abimaterjalid==<br />
<br />
NB! Abimaterjalid on inglise keeles<br />
<br />
Nendest materjalidest leiab lisainformatsiooni kursuse teemade kohta:<br />
*[[https://redmine.openinfosecfoundation.org/projects/suricata/wiki/Suricata_Installation Suricata installatsiooni juhend]]<br />
*[[https://redmine.openinfosecfoundation.org/projects/suricata/wiki/Suricata_User_Guide Suricata kasutusjuhend]]</div>Aellikuhttps://wiki.itcollege.ee/index.php?title=Sissetungi_tuvastuse_systeemid&diff=76258Sissetungi tuvastuse systeemid2014-05-27T08:18:27Z<p>Aelliku: /* Õpijuhend */</p>
<hr />
<div>=Üldinfo=<br />
'''Kursus on hetkel koostamisel.'''<br />
<br />
Hindamisviis: Arvestus<br />
<br />
==Õpijuhend==<br />
<br />
[[IDS systeemid - Opijuhis]]<br />
<br />
'''Rangelt soovituslik aine:''' Operatsioonisüsteemide administreerimine ja sidumine (I233)<br />
<br />
==Õppejõud==<br />
<br />
=Eesmärk ja sisu=<br />
Tutvustada sissetungi tuvastuse süsteemide (edaspidi IDS) põhimõisteid. Anda oskused nende paigaldamiseks ja haldamiseks. Kursus sisaldab teoreetilisi materjale alus- ja põhimõistete tutvustamiseks, laboratoorseid töid, mille käigus paigaldatakse IDS lahendus, teostatakse põhilisi IDS süsteemi haldustoiminguid ning simuleeritakse võrgurünnete tuvastamist. <br />
<br />
=Loengud=<br />
<br />
[[IDS systeemid - Sissejuhatus]]<br />
<br />
[[IDS systeemid - Reeglid ja reeglikogumikud]]<br />
<br />
=Praktilised ülesanded=<br />
<br />
[[IDS Systeemid - Labor 1]]<br />
<br />
=Abimaterjal=<br />
<br />
[[https://redmine.openinfosecfoundation.org/projects/suricata/wiki/Suricata_User_Guide Suricata kasutusjuhend]]</div>Aellikuhttps://wiki.itcollege.ee/index.php?title=IDS_systeemid_-_Opijuhend&diff=76257IDS systeemid - Opijuhend2014-05-27T08:17:56Z<p>Aelliku: moved IDS systeemid - Opijuhend to IDS systeemid - Opijuhis</p>
<hr />
<div>#REDIRECT [[IDS systeemid - Opijuhis]]</div>Aellikuhttps://wiki.itcollege.ee/index.php?title=IDS_systeemid_-_Opijuhis&diff=76256IDS systeemid - Opijuhis2014-05-27T08:17:56Z<p>Aelliku: moved IDS systeemid - Opijuhend to IDS systeemid - Opijuhis</p>
<hr />
<div>=Õpijuhend=<br />
<br />
Õpijuhendi alusel saab õppur planeerida õppematerjalide läbimist.<br />
<br />
==Eeldusaine ja eelteadmiste testid==<br />
<br />
IT Kolledži tudengitele on rangelt soovituslik eeldusaine Operatsioonisüsteemide administreerimine ja sidumine (I233)<br />
<br />
Teistele õppuritele ja tudengitele kes kahtlevad oma teadmistes on sobilikuks eeldustestiks:<br />
<br />
[[https://docs.google.com/document/d/17rlW8fU1LZOcQxO3bt12mba3frd7Xrkc9X2ytSKR-vA/edit?pli=1 Päevaõppe kontrolltöö 1 Sügis 2013]]<br />
<br />
Testis peaks saama minimaalselt 17 punkti 20 enne käesoleva kursuse läbimist.<br />
<br />
==Kursuse ülesehitus==<br />
<br />
Kursuse avalehel on lingid loengutele ja praktikumidele. <br />
<br />
Esmalt läbi töödata kõik loengu materjalid ning vastata loengu materjalides olevatele küsimustele.<br />
<br />
Kui loengu materjalid on läbitud, siis asuda praktiliste ülesannete kallale.<br />
<br />
IT Kolledži tudeng saab laborite teostamiseks kasutada [[https://elab.itcollege.ee/users/sign_in IT Kolledži kaugtöö laborit]], kus on olemas eelseadistatud labori keskkonnad.<br />
<br />
Hinnanguliselt võtab kursuse läbimine:<br />
<br />
* Loengumaterjalid - umbes 2 tundi<br />
* Laborid 1-3 - Umbes 2 tundi labori kohta.<br />
<br />
Kokku tuleks kursuse läbimiseks arvestada 8 akadeemilist tundi.<br />
<br />
Kursuse mahuks on umbes 0,3 EAP. '''Kursus toimub e-õppena.'''<br />
<br />
==Kursuse moodulid==<br />
<br />
'''Loengud:'''<br />
* Esimeses loengus vaadatakse üle IDS lahenduste põhimõisted, taristusse paigutamine ning võrgu jälgimine.<br />
* Teine loeng käsitleb reeglite loomist, haldamist ja uuendamist.<br />
* Kolmandas loengus räägitakse lähemalt IPS režiimist.<br />
<br />
'''Laborid:'''<br />
*Esimeses laboris tuleb paigaldada IDS lahendus, defineerida enda kirjutatud reegel, seadistada reeglite uuendamine Oinkmasteri abil ja optimiseerida reeglikogumikku.<br />
*Teises laboris kasutatakse esimeses laboris loodud lahendust. Seega teise labori eelduseks on esimese labori läbimine. Teise labori eesmärkides on analüüsida rünnakut veebiserverile, luua rünnakut tuvastav reegel ja reegli abil leida rünnaku allikas või allikad.<br />
*Kolmas labor käsitleb IPS režiimi seadistamist ja liiklust keelava reegli katsetamist. <br />
<br />
==Abimaterjalid==<br />
<br />
NB! Abimaterjalid on inglise keeles<br />
<br />
Nendest materjalidest leiab lisainformatsiooni kursuse teemade kohta:<br />
*[[https://redmine.openinfosecfoundation.org/projects/suricata/wiki/Suricata_Installation Suricata installatsiooni juhend]]<br />
*[[https://redmine.openinfosecfoundation.org/projects/suricata/wiki/Suricata_User_Guide Suricata kasutusjuhend]]</div>Aellikuhttps://wiki.itcollege.ee/index.php?title=IDS_systeemid_-_Opijuhis&diff=76255IDS systeemid - Opijuhis2014-05-27T08:17:34Z<p>Aelliku: Created page with "=Õpijuhend= Õpijuhendi alusel saab õppur planeerida õppematerjalide läbimist. ==Eeldusaine ja eelteadmiste testid== IT Kolledži tudengitele on rangelt soovituslik eeldus…"</p>
<hr />
<div>=Õpijuhend=<br />
<br />
Õpijuhendi alusel saab õppur planeerida õppematerjalide läbimist.<br />
<br />
==Eeldusaine ja eelteadmiste testid==<br />
<br />
IT Kolledži tudengitele on rangelt soovituslik eeldusaine Operatsioonisüsteemide administreerimine ja sidumine (I233)<br />
<br />
Teistele õppuritele ja tudengitele kes kahtlevad oma teadmistes on sobilikuks eeldustestiks:<br />
<br />
[[https://docs.google.com/document/d/17rlW8fU1LZOcQxO3bt12mba3frd7Xrkc9X2ytSKR-vA/edit?pli=1 Päevaõppe kontrolltöö 1 Sügis 2013]]<br />
<br />
Testis peaks saama minimaalselt 17 punkti 20 enne käesoleva kursuse läbimist.<br />
<br />
==Kursuse ülesehitus==<br />
<br />
Kursuse avalehel on lingid loengutele ja praktikumidele. <br />
<br />
Esmalt läbi töödata kõik loengu materjalid ning vastata loengu materjalides olevatele küsimustele.<br />
<br />
Kui loengu materjalid on läbitud, siis asuda praktiliste ülesannete kallale.<br />
<br />
IT Kolledži tudeng saab laborite teostamiseks kasutada [[https://elab.itcollege.ee/users/sign_in IT Kolledži kaugtöö laborit]], kus on olemas eelseadistatud labori keskkonnad.<br />
<br />
Hinnanguliselt võtab kursuse läbimine:<br />
<br />
* Loengumaterjalid - umbes 2 tundi<br />
* Laborid 1-3 - Umbes 2 tundi labori kohta.<br />
<br />
Kokku tuleks kursuse läbimiseks arvestada 8 akadeemilist tundi.<br />
<br />
Kursuse mahuks on umbes 0,3 EAP. '''Kursus toimub e-õppena.'''<br />
<br />
==Kursuse moodulid==<br />
<br />
'''Loengud:'''<br />
* Esimeses loengus vaadatakse üle IDS lahenduste põhimõisted, taristusse paigutamine ning võrgu jälgimine.<br />
* Teine loeng käsitleb reeglite loomist, haldamist ja uuendamist.<br />
* Kolmandas loengus räägitakse lähemalt IPS režiimist.<br />
<br />
'''Laborid:'''<br />
*Esimeses laboris tuleb paigaldada IDS lahendus, defineerida enda kirjutatud reegel, seadistada reeglite uuendamine Oinkmasteri abil ja optimiseerida reeglikogumikku.<br />
*Teises laboris kasutatakse esimeses laboris loodud lahendust. Seega teise labori eelduseks on esimese labori läbimine. Teise labori eesmärkides on analüüsida rünnakut veebiserverile, luua rünnakut tuvastav reegel ja reegli abil leida rünnaku allikas või allikad.<br />
*Kolmas labor käsitleb IPS režiimi seadistamist ja liiklust keelava reegli katsetamist. <br />
<br />
==Abimaterjalid==<br />
<br />
NB! Abimaterjalid on inglise keeles<br />
<br />
Nendest materjalidest leiab lisainformatsiooni kursuse teemade kohta:<br />
*[[https://redmine.openinfosecfoundation.org/projects/suricata/wiki/Suricata_Installation Suricata installatsiooni juhend]]<br />
*[[https://redmine.openinfosecfoundation.org/projects/suricata/wiki/Suricata_User_Guide Suricata kasutusjuhend]]</div>Aellikuhttps://wiki.itcollege.ee/index.php?title=Sissetungi_tuvastuse_systeemid&diff=76254Sissetungi tuvastuse systeemid2014-05-27T07:38:56Z<p>Aelliku: </p>
<hr />
<div>=Üldinfo=<br />
'''Kursus on hetkel koostamisel.'''<br />
<br />
Hindamisviis: Arvestus<br />
<br />
==Õpijuhend==<br />
<br />
[[IDS systeemid - Opijuhend]]<br />
<br />
'''Rangelt soovituslik aine:''' Operatsioonisüsteemide administreerimine ja sidumine (I233)<br />
<br />
==Õppejõud==<br />
<br />
=Eesmärk ja sisu=<br />
Tutvustada sissetungi tuvastuse süsteemide (edaspidi IDS) põhimõisteid. Anda oskused nende paigaldamiseks ja haldamiseks. Kursus sisaldab teoreetilisi materjale alus- ja põhimõistete tutvustamiseks, laboratoorseid töid, mille käigus paigaldatakse IDS lahendus, teostatakse põhilisi IDS süsteemi haldustoiminguid ning simuleeritakse võrgurünnete tuvastamist. <br />
<br />
=Loengud=<br />
<br />
[[IDS systeemid - Sissejuhatus]]<br />
<br />
[[IDS systeemid - Reeglid ja reeglikogumikud]]<br />
<br />
=Praktilised ülesanded=<br />
<br />
[[IDS Systeemid - Labor 1]]<br />
<br />
=Abimaterjal=<br />
<br />
[[https://redmine.openinfosecfoundation.org/projects/suricata/wiki/Suricata_User_Guide Suricata kasutusjuhend]]</div>Aellikuhttps://wiki.itcollege.ee/index.php?title=IDS_Systeemid_-_Labor_1&diff=76253IDS Systeemid - Labor 12014-05-27T06:23:29Z<p>Aelliku: /* Labor 1 */</p>
<hr />
<div>=Labor 1=<br />
<br />
Labori käigus paigaldame Suricata ning testime selle töötamist.<br />
<br />
Seame paika reeglite uuendamise Oinkmasteri abil kasutades Emerging Threats reeglikogumikku ning optimiseerime kasutatavat reeglikogumikku.<br />
<br />
==Ettevalmistused Suricata paigaldamiseks==<br />
<br />
===Seadistame eth1 võrguliidese valimatusse režiimi===<br />
<br />
1. Avame faili interfaces:<br />
<br />
vim /etc/network/interfaces<br />
<br />
2. Lisame eth1 parameetrid:<br />
<br />
auto eth1<br />
iface eth1 inet manual <br />
up ifconfig $IFACE 0.0.0.0 up<br />
up ip link set $IFACE promisc on<br />
down ip link set $IFACE promisc off <br />
down ifconfig $IFACE down<br />
<br />
3. Salvesta ja välju<br />
<br />
4. Teeme võrgu teenusele taaskäivituse<br />
<br />
service networking restart<br />
<br />
5. Kontrollime võrguliidest.<br />
<br />
ifconfig <br />
<br />
<br />
Käsu väljundis näeme kolmandas reas "UP BROADCAST RUNNING PROMISC":<br />
<br />
eth1 Link encap:Ethernet HWaddr 00:0c:29:32:bf:11<br />
inet6 addr: fe80::20c:29ff:fe32:bf11/64 Scope:Link<br />
UP BROADCAST RUNNING PROMISC MULTICAST MTU:1500 Metric:1 <br />
RX packets:1152 errors:0 dropped:0 overruns:0 frame:0 <br />
TX packets:62 errors:0 dropped:0 overruns:0 carrier:0 <br />
collisions:0 txqueuelen:1000 <br />
RX bytes:94351 (94.3 KB) TX bytes:17248 (17.2 KB)<br />
<br />
<br />
<br />
==Suricata paigaldus==<br />
<br />
1. Suricata kasutamisel Ubuntu distributsiooni peal on kõige lihtsam kasutada repositooriumi. Kõigepealt paigaldame paki nimega "python-software-properties", kuna selle sees asub programm "add-apt-repository", mida kasutame järgmisena.<br />
<br />
apt-get install python-software-properties<br />
<br />
2. Lisame repositooriumi ja piagaldame Suricata<br />
<br />
add-apt-repository ppa:oisf/suricata-stable<br />
apt-get update<br />
apt-get install suricata<br />
<br />
3. Suricata uuendamiseks saame kasutada<br />
<br />
apt-get update<br />
apt-get upgrade<br />
<br />
4. Eemaldamiseks<br />
<br />
apt-get remove suricata<br />
<br />
<br />
==Seadistamine==<br />
<br />
===Suricata parameetrite määramine===<br />
<br />
1. Loome logide kausta<br />
<br />
mkdir /var/log/suricata<br />
<br />
2. Avame Suricata konfiguratsiooni faili:<br />
<br />
vim /etc/suricata/suricata.yaml<br />
<br />
Kirjeldame kasutuses olevad operatsiooni süsteemid otsides "suricata.yaml" failist rida "host-os-policy" (VIM-i puhul saab otsimist teostada sisestades "/" ning seejärel otsitava teksti.)<br />
<br />
host-os-policy:<br />
# Make the default policy windows.<br />
windows: []<br />
bsd: []<br />
bsd-right: []<br />
old-linux: []<br />
linux: [192.168.56.200, 192.168.56.201, 192.168.56.101, 127.0.0.1]<br />
old-solaris: []<br />
solaris: []<br />
hpux10: []<br />
hpux11: []<br />
irix: []<br />
macos: []<br />
vista: []<br />
<br />
Kirjeldame ära aadresside grupid. Selleks otsime üles rea "address-groups"<br />
<br />
address-groups:<br />
HOME_NET: "[192.168.56.0/24]"<br />
EXTERNAL_NET: "!$HOME_NET"<br />
<br />
===Enda kirjutatud reeglid===<br />
<br />
1. Enda kirjutatud reeglite kasutamiseks loome faili local.rules<br />
<br />
touch /etc/suricata/rules/local.rules<br />
<br />
Lisame local.rules faili ühe reegli<br />
<br />
vim /etc/suricata/rules/local.rules<br />
<br />
alert ip any any -> any any (msg:"ICMP detected"; sid:2; rev:1;)<br />
<br />
2. Lisame Suricata kofiguratsiooni kohalike reeglite faili.<br />
<br />
vim /etc/suricata/suricata.yaml<br />
<br />
Otsime üles rea "rule-files" ja lisame sinna alla esimese reana local.rules faili.<br />
<br />
rule-files:<br />
- local.rules<br />
- botcc.rules<br />
- ciarmy.rules<br />
- compromised.rules<br />
- drop.rules<br />
- dshield.rules<br />
- emerging-activex.rules<br />
- emerging-attack_response.rules<br />
- emerging-chat.rules<br />
- emerging-current_events.rules<br />
- emerging-dns.rules<br />
- emerging-dos.rules<br />
- emerging-exploit.rules<br />
- emerging-ftp.rules<br />
...<br />
<br />
3. Reegli testimiseks käivitame Suricata ning seadistame kuulama eth1 võrguliidese peale, mille eelnevalt seadistasime valimatusse režiimi.<br />
<br />
suricata -c /etc/suricata/suricata.yaml -i eth1<br />
<br />
4. Pingime kliendi masinast IDS serverit<br />
<br />
ping ids<br />
<br />
5. Kõrvale avame teise ssh ühenduse ids serverisse ja avame Suricata logi<br />
<br />
tail -f /var/log/suricata/fast.log<br />
<br />
Näeme, et logisse lisanduvad teated reeglile vastavast liiklusest<br />
<br />
05/25/2014-13:03:58.407499 [**] [1:2:1] ICMP detected [**] [Classification: (null)] [Priority: 3] {ICMP} 192.168.56.3:8 -> 192.168.56.2:0<br />
05/25/2014-13:03:58.407526 [**] [1:2:1] ICMP detected [**] [Classification: (null)] [Priority: 3] {ICMP} 192.168.56.2:0 -> 192.168.56.3:0<br />
05/25/2014-13:03:59.407073 [**] [1:2:1] ICMP detected [**] [Classification: (null)] [Priority: 3] {ICMP} 192.168.56.3:8 -> 192.168.56.2:0<br />
05/25/2014-13:03:59.407097 [**] [1:2:1] ICMP detected [**] [Classification: (null)] [Priority: 3] {ICMP} 192.168.56.2:0 -> 192.168.56.3:0<br />
<br />
<br />
===Oinkmaster üles seadmine reeglikogumike uuendamiseks===<br />
<br />
1. Paigaldame OinkMasteri<br />
<br />
apt-get install oinkmaster<br />
<br />
On olemas mitmed reeglikogumikke. Praegusel juhul kasutame Emerging Threats (ET) reeglikogumikku.<br />
<br />
Oinkmaster peab teada, kust saab reeglikogumikku alla laadida:<br />
http://rules.emergingthreats.net/open/suricata/emerging.rules.tar.gz<br />
<br />
2. Selle lingi lisamiseks avame oinkmaster.conf faili:<br />
<br />
vim /etc/oinkmaster.conf<br />
<br />
3. Leiame üles rea ET reeglite veebilehele (vim puhul saab otsingut teostada sisestades kõigepealt "/" ning seejärel otsingu stringi):<br />
<br />
/Emerging Threats<br />
<br />
4. Lisame hüperlingi:<br />
<br />
url = http://rules.emergingthreats.net/open/suricata/emerging.rules.tar.gz<br />
<br />
<br />
Pärast muudatuse sisse viimist näeb faili sektsiooni välja selline:<br />
<br />
# Example for rules from the Emerging Threats site (previously known as Bleeding Snort).<br />
# url = http://www.emergingthreats.net/rules/emerging.rules.tar.gz<br />
# Old url:<br />
# url = http://www.bleedingsnort.com/downloads/bleeding.rules.tar.gz<br />
url = http://rules.emergingthreats.net/open/suricata/emerging.rules.tar.gz<br />
<br />
5. Salvesta ja välju failist. Vim puhul, väljuda paoklahviga sisestus režiimist ning seejärel ":wq".<br />
<br />
<br />
6. Uuendame reeglikogumiku:<br />
<br />
cd /etc<br />
oinkmaster -C /etc/oinkmaster.conf -o /etc/suricata/rules<br />
<br />
7. Pärast reeglite alla laadimist ja lahti pakkimist on reeglite kaustast leitavad ka kaks faili nimedega classification. config ja reference.config. Mõlemad on vaja lisada Suricata konfiguratsiooni faili:<br />
<br />
vim /etc/suricata/suricata.yaml<br />
<br />
Konfiguratsioonis otsime üles rea"classification-file" ning muudame ära vajalikud parameetrid. Lõpptulemusena saame: <br />
<br />
classification-file: /etc/suricata/rules/classification.config<br />
reference-config-file: /etc/suricata/rules/reference.config<br />
<br />
8. Testimiseks käivitame suricata:<br />
<br />
suricata -c /etc/suricata/suricata.yaml -i eth1<br />
<br />
9. Käivitamisel näeme, et mitmed reegli failid pole saadaval. Nende mitte kasutamiseks saame suricata.yaml faili rule-files sektsioonis lisada konkreetse reegli faili ette #.<br />
<br />
vim /etc/suricata.yaml<br />
<br />
Lisame # kahe faili ette:<br />
<br />
# - emerging-icmp.rules<br />
# - dns-events.rules<br />
<br />
10. Salvestame ja väljume.<br />
<br />
11. Reeglite hilisemaks uuendamiseks käivitame käsu:<br />
<br />
oinkmaster -C /etc/oinkmaster.conf -o /etc/suricata/rules<br />
<br />
<br />
'''Soovituslik on reegleid tihti uuendada. ET reeglikogumikku uuendatakse korra päevas.'''<br />
<br />
<br />
===Automaatne uuendamine oinkmasteri abil===<br />
<br />
Et muuta reeglite uuendamine lihtsaks ja automaatseks, seadistame croni töö oinkmasteri automaatseks käivitamiseks.<br />
<br />
1. Loome reeglite varundamiseks kausta.<br />
<br />
mkdir /etc/suricata/backup<br />
<br />
2. Lisame uue kasutaja oinkmaster<br />
<br />
useradd oinkmaster<br />
<br />
3. Muudame mõningad failiõigused.<br />
<br />
chown -R oinkmaster /etc/suricata/backup<br />
chown -R oinkmaster /etc/suricata/rules<br />
<br />
4. Testime, kas töötab<br />
<br />
su oinkmaster<br />
oinkmaster -C /etc/oinkmaster.conf -o /etc/suricata/rules -b /etc/suricata/backup 2>&1<br />
<br />
5. Kuna me tahame seda iga päev käivitada, siis lisame crontabi alla vastava töö<br />
<br />
crontab -e -u oinkmaster<br />
<br />
30 00 * * * oinkmaster -o /etc/snort/rules -b /etc/snort/backup 2>&1 >> /dev/null 2>&1<br />
<br />
<br />
===Reeglikogumike optimiseerimine===<br />
<br />
Mida rohkem reegleid on kasutuses, seda rohkem ressurssi on vaja pakettide analüüsimiseks.<br />
Seega mõtekas on keelata need reeglid, mis käivad tehnoloogiate või teenuste vastu mida asutuse infrastruktuuris ei esine.<br />
<br />
Kõigepealt keelame mõned üldised grupid. Selleks avame uuesti Suricata konfiguratsiooni faili:<br />
<br />
vim /etc/suricata/suricata.yaml<br />
<br />
Otsime üles rea "rule-files".<br />
<br />
/rule-files<br />
<br />
Reegli grupi keelamiseks on vaja konkreetne reegli faili välja kommenteerida, lisades rea ette #.<br />
<br />
Oletame, et poliitikatega on infrastruktuuris keelatud ActiveX tehnoloogia kasutamine, ei leia kasutust ftp protokoll ning ei ole ka SCADA seadmeid. <br />
<br />
'''Ülesanne'''<br />
Otsida suricata.yaml failist üles sektsioon "rule-files:" ning kommenteerida välja need 3 reeglite faili mis käsitlevad neid teenuseid (Active-X; FTP; SCADA).<br />
<br />
<br />
===Üksiku või mitme reegli keelamine===<br />
<br />
Üksiku reegli või mitme reegli keelamiseks on vaja leida reegli sid. Seda seetõttu, et sid alusel saab reegli keelata oinkmasteri konfiguratsioonis. Sellisel juhul jääb reegel keelatuks ka pärast reeglikogumiku uuendamist.<br />
<br />
Antud näite puhul ütleme, et asutus on paiganud kõigi Linuxi serverite OpenSSL teegid ning seeläbi kõrvaldanud HeartBleed nimelise nõrkuse. Seega kõik reeglid, mis käsitlevad seda nõrkust võib keelata.<br />
<br />
1. Otsime üles kõik HeartBleedi käsitlevad reeglid.<br />
<br />
cd /etc/suricata/rules<br />
grep -R "HeartBleed"<br />
<br />
<br />
Leiame, et HeartBleedi käsitlevaid reegleid on 6. Kuigi väljastati 12 rida on esimesed 6 rida pärit sid-msg.map failist, kus hoitakse teadete ja reegli id vahelisi seoseid seega need võib välja jätta.<br />
<br />
2. Eraldame välja kõigi 6 reegli sid tunnused.<br />
<br />
grep -R "HeartBleed" | grep -P -o "sid\:\d+" | grep -o -P "\d{2,}+" | tr '\n' ',' >> /etc/oinkmaster.conf<br />
<br />
Üleval nähtava käsuga, filtreerime reegli failidest rekursiivselt välja kõik read kus sisaldub sõna HeartBleed, seejärel eraldame nendest ridadest sid tunnused ja puhastame read üleliigsest. Viimaks asendame tr käsu abil reavahetused komaga ja kirjutame tekkinud rea Oinkmasteri konfiguratsiooni faili lõppu.<br />
<br />
<br />
3. Avame Oinkmasteri konfiguratsiooni ja kerime faili lõppu. Eelmise käsuga sinna kirjutatud sid tunnused on meid ootamas.<br />
<br />
vim /etc/oinkmaster.conf<br />
<br />
4. Kirjutame sid tunnuste ette parameetri "disablesid" ning rea lõppu lisame # ja kommentaari. Lõpptulemusena näeb oinkmasteri konfiguratsiooni faili viimane rida välja selline:<br />
<br />
disablesid 2018377, 2018378, 2018382, 2018383, 2018388, 2018389 # Ei ole enam HeartBleedi haavatavust<br />
<br />
5. Salvestame ja väljume.<br />
<br />
6. Kui käivitame Oinkmasteri uuenduse uuesti, siis näeme millised ja kui mitu reeglit on keelatud.<br />
<br />
oinkmaster -C /etc/oinkmaster.conf -o /etc/suricata/rules<br />
<br />
<br />
==Kursuse avaleht==<br />
<br />
[[Sissetungi tuvastuse systeemid]]</div>Aellikuhttps://wiki.itcollege.ee/index.php?title=Sissetungi_tuvastuse_systeemid&diff=76252Sissetungi tuvastuse systeemid2014-05-26T22:04:14Z<p>Aelliku: </p>
<hr />
<div>=Üldinfo=<br />
'''Kursus on hetkel koostamisel.'''<br />
<br />
Hindamisviis: Arvestus<br />
<br />
'''Rangelt soovituslik aine:''' Operatsioonisüsteemide administreerimine ja sidumine (I233)<br />
<br />
==Õppejõud==<br />
<br />
=Eesmärk ja sisu=<br />
Tutvustada sissetungi tuvastuse süsteemide (edaspidi IDS) põhimõisteid. Anda oskused nende paigaldamiseks ja haldamiseks. Kursus sisaldab teoreetilisi materjale alus- ja põhimõistete tutvustamiseks, laboratoorseid töid, mille käigus paigaldatakse IDS lahendus, teostatakse põhilisi IDS süsteemi haldustoiminguid ning simuleeritakse võrgurünnete tuvastamist. <br />
<br />
=Loengud=<br />
<br />
[[IDS systeemid - Sissejuhatus]]<br />
<br />
[[IDS systeemid - Reeglid ja reeglikogumikud]]<br />
<br />
=Praktilised ülesanded=<br />
<br />
[[IDS Systeemid - Labor 1]]<br />
<br />
=Abimaterjal=<br />
<br />
[[https://redmine.openinfosecfoundation.org/projects/suricata/wiki/Suricata_User_Guide Suricata kasutusjuhend]]</div>Aellikuhttps://wiki.itcollege.ee/index.php?title=Sissetungi_tuvastuse_systeemid&diff=76251Sissetungi tuvastuse systeemid2014-05-26T22:03:23Z<p>Aelliku: </p>
<hr />
<div>=Üldinfo=<br />
'''Kursus on hetkel koostamisel.'''<br />
<br />
Hindamisviis: Arvestus<br />
<br />
'''Rangelt soovituslik aine:''' Operatsioonisüsteemide administreerimine ja sidumine (I233)<br />
<br />
==Õppejõud==<br />
<br />
=Eesmärk ja sisu=<br />
Tutvustada sissetungi tuvastuse süsteemide (edaspidi IDS) põhimõisteid. Anda oskused nende paigaldamiseks ja haldamiseks. Kursus sisaldab teoreetilisi materjale alus- ja põhimõistete tutvustamiseks, laboratoorseid töid, mille käigus paigaldatakse IDS lahendus, teostatakse põhilisi IDS süsteemi haldustoiminguid ning simuleeritakse võrgurünnete tuvastamist. <br />
<br />
=Loengud=<br />
<br />
[[IDS systeemid - Sissejuhatus]]<br />
<br />
[[IDS systeemid - Reeglid ja reeglikogumikud]]<br />
<br />
=Praktilised ülesanded=<br />
<br />
[[IDS Systeemid - Labor 1]]</div>Aellikuhttps://wiki.itcollege.ee/index.php?title=IDS_S%C3%BCsteemid_-_Labor_1&diff=76250IDS Süsteemid - Labor 12014-05-26T22:03:02Z<p>Aelliku: moved IDS Süsteemid - Labor 1 to IDS Systeemid - Labor 1</p>
<hr />
<div>#REDIRECT [[IDS Systeemid - Labor 1]]</div>Aellikuhttps://wiki.itcollege.ee/index.php?title=IDS_Systeemid_-_Labor_1&diff=76249IDS Systeemid - Labor 12014-05-26T22:03:02Z<p>Aelliku: moved IDS Süsteemid - Labor 1 to IDS Systeemid - Labor 1</p>
<hr />
<div>=Labor 1=<br />
<br />
Labori käigus paigaldame Suricata ning testime selle töötamist.<br />
<br />
Seame paika reeglite uuendamise Oinkmasteri abil kasutades EmergingThreats reeglikogumikku ning optimiseerime kasutatavat reeglikogumikku.<br />
<br />
==Ettevalmistused Suricata paigaldamiseks==<br />
<br />
===Seadistame eth1 võrguliidese valimatusse režiimi===<br />
<br />
1. Avame faili interfaces:<br />
<br />
vim /etc/network/interfaces<br />
<br />
2. Lisame eth1 parameetrid:<br />
<br />
auto eth1<br />
iface eth1 inet manual <br />
up ifconfig $IFACE 0.0.0.0 up<br />
up ip link set $IFACE promisc on<br />
down ip link set $IFACE promisc off <br />
down ifconfig $IFACE down<br />
<br />
3. Salvesta ja välju<br />
<br />
4. Teeme võrgu teenusele taaskäivituse<br />
<br />
service networking restart<br />
<br />
5. Kontrollime võrguliidest.<br />
<br />
ifconfig <br />
<br />
<br />
Käsu väljundis näeme kolmandas reas "UP BROADCAST RUNNING PROMISC":<br />
<br />
eth1 Link encap:Ethernet HWaddr 00:0c:29:32:bf:11<br />
inet6 addr: fe80::20c:29ff:fe32:bf11/64 Scope:Link<br />
UP BROADCAST RUNNING PROMISC MULTICAST MTU:1500 Metric:1 <br />
RX packets:1152 errors:0 dropped:0 overruns:0 frame:0 <br />
TX packets:62 errors:0 dropped:0 overruns:0 carrier:0 <br />
collisions:0 txqueuelen:1000 <br />
RX bytes:94351 (94.3 KB) TX bytes:17248 (17.2 KB)<br />
<br />
<br />
<br />
==Suricata paigaldus==<br />
<br />
1. Suricata kasutamisel Ubuntu distributsiooni peal on kõige lihtsam kasutada repositooriumi. Kõigepealt paigaldame paki nimega "python-software-properties", kuna selle sees asub programm "add-apt-repository", mida kasutame järgmisena.<br />
<br />
apt-get install python-software-properties<br />
<br />
2. Lisame repositooriumi ja piagaldame Suricata<br />
<br />
add-apt-repository ppa:oisf/suricata-stable<br />
apt-get update<br />
apt-get install suricata<br />
<br />
3. Suricata uuendamiseks saame kasutada<br />
<br />
apt-get update<br />
apt-get upgrade<br />
<br />
4. Eemaldamiseks<br />
<br />
apt-get remove suricata<br />
<br />
<br />
==Seadistamine==<br />
<br />
===Suricata parameetrite määramine===<br />
<br />
1. Loome logide kausta<br />
<br />
mkdir /var/log/suricata<br />
<br />
2. Avame Suricata konfiguratsiooni faili:<br />
<br />
vim /etc/suricata/suricata.yaml<br />
<br />
Kirjeldame kasutuses olevad operatsiooni süsteemid otsides "suricata.yaml" failist rida "host-os-policy" (VIM-i puhul saab otsimist teostada sisestades "/" ning seejärel otsitava teksti.)<br />
<br />
host-os-policy:<br />
# Make the default policy windows.<br />
windows: []<br />
bsd: []<br />
bsd-right: []<br />
old-linux: []<br />
linux: [192.168.56.200, 192.168.56.201, 192.168.56.101, 127.0.0.1]<br />
old-solaris: []<br />
solaris: []<br />
hpux10: []<br />
hpux11: []<br />
irix: []<br />
macos: []<br />
vista: []<br />
<br />
Kirjeldame ära aadresside grupid. Selleks otsime üles rea "address-groups"<br />
<br />
address-groups:<br />
HOME_NET: "[192.168.56.0/24]"<br />
EXTERNAL_NET: "!$HOME_NET"<br />
<br />
===Enda kirjutatud reeglid===<br />
<br />
1. Enda kirjutatud reeglite kasutamiseks loome faili local.rules<br />
<br />
touch /etc/suricata/rules/local.rules<br />
<br />
Lisame local.rules faili ühe reegli<br />
<br />
vim /etc/suricata/rules/local.rules<br />
<br />
alert ip any any -> any any (msg:"ICMP detected"; sid:2; rev:1;)<br />
<br />
2. Lisame Suricata kofiguratsiooni kohalike reeglite faili.<br />
<br />
vim /etc/suricata/suricata.yaml<br />
<br />
Otsime üles rea "rule-files" ja lisame sinna alla esimese reana local.rules faili.<br />
<br />
rule-files:<br />
- local.rules<br />
- botcc.rules<br />
- ciarmy.rules<br />
- compromised.rules<br />
- drop.rules<br />
- dshield.rules<br />
- emerging-activex.rules<br />
- emerging-attack_response.rules<br />
- emerging-chat.rules<br />
- emerging-current_events.rules<br />
- emerging-dns.rules<br />
- emerging-dos.rules<br />
- emerging-exploit.rules<br />
- emerging-ftp.rules<br />
...<br />
<br />
3. Reegli testimiseks käivitame Suricata ning seadistame kuulama eth1 võrguliidese peale, mille eelnevalt seadistasime valimatusse režiimi.<br />
<br />
suricata -c /etc/suricata/suricata.yaml -i eth1<br />
<br />
4. Pingime kliendi masinast IDS serverit<br />
<br />
ping ids<br />
<br />
5. Kõrvale avame teise ssh ühenduse ids serverisse ja avame Suricata logi<br />
<br />
tail -f /var/log/suricata/fast.log<br />
<br />
Näeme, et logisse lisanduvad teated reeglile vastavast liiklusest<br />
<br />
05/25/2014-13:03:58.407499 [**] [1:2:1] ICMP detected [**] [Classification: (null)] [Priority: 3] {ICMP} 192.168.56.3:8 -> 192.168.56.2:0<br />
05/25/2014-13:03:58.407526 [**] [1:2:1] ICMP detected [**] [Classification: (null)] [Priority: 3] {ICMP} 192.168.56.2:0 -> 192.168.56.3:0<br />
05/25/2014-13:03:59.407073 [**] [1:2:1] ICMP detected [**] [Classification: (null)] [Priority: 3] {ICMP} 192.168.56.3:8 -> 192.168.56.2:0<br />
05/25/2014-13:03:59.407097 [**] [1:2:1] ICMP detected [**] [Classification: (null)] [Priority: 3] {ICMP} 192.168.56.2:0 -> 192.168.56.3:0<br />
<br />
<br />
===Oinkmaster üles seadmine reeglikogumike uuendamiseks===<br />
<br />
1. Paigaldame OinkMasteri<br />
<br />
apt-get install oinkmaster<br />
<br />
On olemas mitmed reeglikogumikke. Praegusel juhul kasutame Emerging Threats (ET) reeglikogumikku.<br />
<br />
Oinkmaster peab teada, kust saab reeglikogumikku alla laadida:<br />
http://rules.emergingthreats.net/open/suricata/emerging.rules.tar.gz<br />
<br />
2. Selle lingi lisamiseks avame oinkmaster.conf faili:<br />
<br />
vim /etc/oinkmaster.conf<br />
<br />
3. Leiame üles rea ET reeglite veebilehele (vim puhul saab otsingut teostada sisestades kõigepealt "/" ning seejärel otsingu stringi):<br />
<br />
/Emerging Threats<br />
<br />
4. Lisame hüperlingi:<br />
<br />
url = http://rules.emergingthreats.net/open/suricata/emerging.rules.tar.gz<br />
<br />
<br />
Pärast muudatuse sisse viimist näeb faili sektsiooni välja selline:<br />
<br />
# Example for rules from the Emerging Threats site (previously known as Bleeding Snort).<br />
# url = http://www.emergingthreats.net/rules/emerging.rules.tar.gz<br />
# Old url:<br />
# url = http://www.bleedingsnort.com/downloads/bleeding.rules.tar.gz<br />
url = http://rules.emergingthreats.net/open/suricata/emerging.rules.tar.gz<br />
<br />
5. Salvesta ja välju failist. Vim puhul, väljuda paoklahviga sisestus režiimist ning seejärel ":wq".<br />
<br />
<br />
6. Uuendame reeglikogumiku:<br />
<br />
cd /etc<br />
oinkmaster -C /etc/oinkmaster.conf -o /etc/suricata/rules<br />
<br />
7. Pärast reeglite alla laadimist ja lahti pakkimist on reeglite kaustast leitavad ka kaks faili nimedega classification. config ja reference.config. Mõlemad on vaja lisada Suricata konfiguratsiooni faili:<br />
<br />
vim /etc/suricata/suricata.yaml<br />
<br />
Konfiguratsioonis otsime üles rea"classification-file" ning muudame ära vajalikud parameetrid. Lõpptulemusena saame: <br />
<br />
classification-file: /etc/suricata/rules/classification.config<br />
reference-config-file: /etc/suricata/rules/reference.config<br />
<br />
8. Testimiseks käivitame suricata:<br />
<br />
suricata -c /etc/suricata/suricata.yaml -i eth1<br />
<br />
9. Käivitamisel näeme, et mitmed reegli failid pole saadaval. Nende mitte kasutamiseks saame suricata.yaml faili rule-files sektsioonis lisada konkreetse reegli faili ette #.<br />
<br />
vim /etc/suricata.yaml<br />
<br />
Lisame # kahe faili ette:<br />
<br />
# - emerging-icmp.rules<br />
# - dns-events.rules<br />
<br />
10. Salvestame ja väljume.<br />
<br />
11. Reeglite hilisemaks uuendamiseks käivitame käsu:<br />
<br />
oinkmaster -C /etc/oinkmaster.conf -o /etc/suricata/rules<br />
<br />
<br />
'''Soovituslik on reegleid tihti uuendada. ET reeglikogumikku uuendatakse korra päevas.'''<br />
<br />
<br />
===Automaatne uuendamine oinkmasteri abil===<br />
<br />
Et muuta reeglite uuendamine lihtsaks ja automaatseks, seadistame croni töö oinkmasteri automaatseks käivitamiseks.<br />
<br />
1. Loome reeglite varundamiseks kausta.<br />
<br />
mkdir /etc/suricata/backup<br />
<br />
2. Lisame uue kasutaja oinkmaster<br />
<br />
useradd oinkmaster<br />
<br />
3. Muudame mõningad failiõigused.<br />
<br />
chown -R oinkmaster /etc/suricata/backup<br />
chown -R oinkmaster /etc/suricata/rules<br />
<br />
4. Testime, kas töötab<br />
<br />
su oinkmaster<br />
oinkmaster -C /etc/oinkmaster.conf -o /etc/suricata/rules -b /etc/suricata/backup 2>&1<br />
<br />
5. Kuna me tahame seda iga päev käivitada, siis lisame crontabi alla vastava töö<br />
<br />
crontab -e -u oinkmaster<br />
<br />
30 00 * * * oinkmaster -o /etc/snort/rules -b /etc/snort/backup 2>&1 >> /dev/null 2>&1<br />
<br />
<br />
===Reeglikogumike optimiseerimine===<br />
<br />
Mida rohkem reegleid on kasutuses, seda rohkem ressurssi on vaja pakettide analüüsimiseks.<br />
Seega mõtekas on keelata need reeglid, mis käivad tehnoloogiate või teenuste vastu mida asutuse infrastruktuuris ei esine.<br />
<br />
Kõigepealt keelame mõned üldised grupid. Selleks avame uuesti Suricata konfiguratsiooni faili:<br />
<br />
vim /etc/suricata/suricata.yaml<br />
<br />
Otsime üles rea "rule-files".<br />
<br />
/rule-files<br />
<br />
Reegli grupi keelamiseks on vaja konkreetne reegli faili välja kommenteerida, lisades rea ette #.<br />
<br />
Oletame, et poliitikatega on infrastruktuuris keelatud ActiveX tehnoloogia kasutamine, ei leia kasutust ftp protokoll ning ei ole ka SCADA seadmeid. <br />
<br />
'''Ülesanne'''<br />
Otsida suricata.yaml failist üles sektsioon "rule-files:" ning kommenteerida välja need 3 reeglite faili mis käsitlevad neid teenuseid (Active-X; FTP; SCADA).<br />
<br />
<br />
===Üksiku või mitme reegli keelamine===<br />
<br />
Üksiku reegli või mitme reegli keelamiseks on vaja leida reegli sid. Seda seetõttu, et sid alusel saab reegli keelata oinkmasteri konfiguratsioonis. Sellisel juhul jääb reegel keelatuks ka pärast reeglikogumiku uuendamist.<br />
<br />
Antud näite puhul ütleme, et asutus on paiganud kõigi Linuxi serverite OpenSSL teegid ning seeläbi kõrvaldanud HeartBleed nimelise nõrkuse. Seega kõik reeglid, mis käsitlevad seda nõrkust võib keelata.<br />
<br />
1. Otsime üles kõik HeartBleedi käsitlevad reeglid.<br />
<br />
cd /etc/suricata/rules<br />
grep -R "HeartBleed"<br />
<br />
<br />
Leiame, et HeartBleedi käsitlevaid reegleid on 6. Kuigi väljastati 12 rida on esimesed 6 rida pärit sid-msg.map failist, kus hoitakse teadete ja reegli id vahelisi seoseid seega need võib välja jätta.<br />
<br />
2. Eraldame välja kõigi 6 reegli sid tunnused.<br />
<br />
grep -R "HeartBleed" | grep -P -o "sid\:\d+" | grep -o -P "\d{2,}+" | tr '\n' ',' >> /etc/oinkmaster.conf<br />
<br />
Üleval nähtava käsuga, filtreerime reegli failidest rekursiivselt välja kõik read kus sisaldub sõna HeartBleed, seejärel eraldame nendest ridadest sid tunnused ja puhastame read üleliigsest. Viimaks asendame tr käsu abil reavahetused komaga ja kirjutame tekkinud rea Oinkmasteri konfiguratsiooni faili lõppu.<br />
<br />
<br />
3. Avame Oinkmasteri konfiguratsiooni ja kerime faili lõppu. Eelmise käsuga sinna kirjutatud sid tunnused on meid ootamas.<br />
<br />
vim /etc/oinkmaster.conf<br />
<br />
4. Kirjutame sid tunnuste ette parameetri "disablesid" ning rea lõppu lisame # ja kommentaari. Lõpptulemusena näeb oinkmasteri konfiguratsiooni faili viimane rida välja selline:<br />
<br />
disablesid 2018377, 2018378, 2018382, 2018383, 2018388, 2018389 # Ei ole enam HeartBleedi haavatavust<br />
<br />
5. Salvestame ja väljume.<br />
<br />
6. Kui käivitame Oinkmasteri uuenduse uuesti, siis näeme millised ja kui mitu reeglit on keelatud.<br />
<br />
oinkmaster -C /etc/oinkmaster.conf -o /etc/suricata/rules<br />
<br />
<br />
==Kursuse avaleht==<br />
<br />
[[Sissetungi tuvastuse systeemid]]</div>Aellikuhttps://wiki.itcollege.ee/index.php?title=IDS_s%C3%BCsteemid_-_Reeglid_ja_reeglikogumikud&diff=76248IDS süsteemid - Reeglid ja reeglikogumikud2014-05-26T22:02:48Z<p>Aelliku: moved IDS süsteemid - Reeglid ja reeglikogumikud to IDS systeemid - Reeglid ja reeglikogumikud</p>
<hr />
<div>#REDIRECT [[IDS systeemid - Reeglid ja reeglikogumikud]]</div>Aellikuhttps://wiki.itcollege.ee/index.php?title=IDS_systeemid_-_Reeglid_ja_reeglikogumikud&diff=76247IDS systeemid - Reeglid ja reeglikogumikud2014-05-26T22:02:48Z<p>Aelliku: moved IDS süsteemid - Reeglid ja reeglikogumikud to IDS systeemid - Reeglid ja reeglikogumikud</p>
<hr />
<div>=Reeglid ja reeglikogumikud=<br />
<br />
Reeglid mängivad väga suurt rolli Suricata puhul. Enamustel juhtudel kasutatakse juba saada olevaid tasuta või tasulisi reeglikogumikke. Kõige populaarsemad on Emerging Threats, Emerging Threats Pro ja Source fire poolt välja antav VRT.<br />
Kõigepealt käsitleme reeglite struktuuri ja nende loomist ning seejärel vaatame üle reeglikogumike lisamise ja haldamise.<br />
<br />
==Reeglid==<br />
Reeglid koosnevad kolmest komponendist:<br />
Tegevus, päis, valikud ehk action, header, rule-options.<br />
<br />
<br />
[[File: Suricata_Intro_sig.png]]<br />
<br />
Joonis 1. [[https://redmine.openinfosecfoundation.org/projects/suricata/wiki/Suricata_Rules Näide Suricata reeglist]]<br />
<br />
<br />
===Tegevus ehk action===<br />
Paketi reeglile vastamisel teostatakse selle komponendi alusel üks neljast tegevusest:<br />
*Pass - Kui pakett vastab reeglile, siis paketi kontrollimine ülejäänud reeglite vastu jäetakse vahele.<br />
*Drop - Oluline ainult IPS režiimid puhul. Reeglile vastamisel ei saadeta paketti edasi ning genereeritakse teade Suricata logisse.<br />
*Reject - Reeglile vastamisel lükatakse pakett tagasi. Nii saatjale kui saadetavale saadetakse TCP ühenduse puhul Reset pakett ning muude protokollide puhul ICMP veateade. Genereeritakse ka teade ning IPS puhul lisandub Drop tegevuse täitmine.<br />
*Alert - Reeglile vastamisel genereeritakse teade.<br />
<br />
<br />
===Päis ehk header===<br />
<br />
'''Protokoll'''<br />
<br />
Tegevusele järgneva võtmesõnaga tähistatakse, millist protokolli antud reegel käsitleb. Ülevalpoole olevas näites on selleks TCP. Valida on 4 valiku vahel: tcp, udp, icm, ip. Ip tähistab ükskõik millist liiklust. Suricata puhul on lisanduvateks võtmesõnadeks: http, tls, ftp, smb ja dns.<br />
Kui signatuuris on defineeritud kindel protokoll siis pakett saab reeglile vastata ainult juhul kui kasutatav protokoll ka vastab.<br />
<br />
<br />
'''Allikas ja sihtpunkt'''<br />
<br />
Mõlema puhul saab määrata võrgu aadressid. Kasutada võib nii IPv4 kui ka IPv6.<br />
Kasutatavad lisa parameetrid on “!” ehk siis not. Näiteks “! 127.0.0.1” tähistab, et kõik aadressid peale selle.<br />
Nurksulgudega (“[ ]”) saab aadresse grupeerida. Näiteks: ! [1.1.1.1, 1.1.1.2] tähistab, et kõik võrguaadressid peale nende kahe. <br />
<br />
Konfiguratsioonis saab seadistada ka lisa parameetreid nagu $HOME_NET ehk alamvõrgud mis on sisevõrgus kasutusel ja $EXTERNAL_NET ehk väline võrk. $EXTERNAL_NET puhul on populaarne seadistada väärtuseks !$HOME_NET ehk siis kõik aadressid peale sisevõrgu aadresside(Mitte kasutada $EXTERNAL_NET parameetrit kui $HOME_NET väärtuseks on “any”).<br />
<br />
Mõningad näited [[https://redmine.openinfosecfoundation.org/projects/suricata/wiki/Suricata_Rules Suricata dokumentatsioonist]]:<br />
<br />
! 1.1.1.1 (Every IP address but 1.1.1.1)<br />
![1.1.1.1, 1.1.1.2] (Every IP address but 1.1.1.1 and 1.1.1.2) <br />
$HOME_NET (Your setting of HOME_NET in yaml)<br />
[$EXTERNAL_NET, !$HOME_NET] (EXTERNAL_NET and not HOME_NET)<br />
[10.0.0.0/24, !10.0.0.5] (10.0.0.0/24 except for 10.0.0.5) <br />
[…..,[....]]<br />
[…. ,![.....]]<br />
<br />
<br />
Allika ja sihtpunkti aadresside juurde saab defineerida ka pordi. Tüüpiliselt on allika port op.süsteemi poolt automaatselt valitud ja seetõttu on tavaliselt reeglites seatud allika pordiks “any”. Seda määrab ka kasutatav protokoll. Samamoodi nagu aadresside puhul on ka portide puhul võimalik kasutada lisa parameetreid:<br />
<br />
“!” - eitus/erand<br />
<br />
“:” - vahemik<br />
<br />
“[ ]” - millised osad kuuluvad kokku<br />
<br />
“,” - eraldamiseks<br />
<br />
<br />
Näited:<br />
[80, 81, 82] (port 80, 81 and 82)<br />
[80: 82] (Range from 80 till 82)<br />
[1024: ] (From 1024 till the highest port-number)<br />
!80 (Every port but 80)<br />
[80:100,!99] (Range from 80 till 100 but 99 excluded)<br />
[1:80,![2,4]]<br />
[….[.....]]<br />
<br />
<br />
Kõigi reeglite puhul määratakse kõige pealt allika aadress ja port, seejärel pannakse paika liikluse suund ning suunale järgneb sihtpunkt.<br />
Suuna saab määrata kahel viisil: <br />
<br />
“->” - tähistab ühe suunalist liiklust.<br />
Näiteks: “allikas -> sihtpunkt” mida illustreerib reegel “alert tcp 1.2.3.4 1024 -> 5.6.7.8 80”<br />
Reegel vastab juhul kui liiklus on aadressilt 1.2.3.4 aadressile 5.6.7.8.<br />
<br />
“<>” - reegel kehtib mõlema suunalise liikluse korral.<br />
<br />
<br />
===Valikud===<br />
<br />
Valikutel on kindel Unixi maailmast tuttav "võti: väärtus" formaat:<br />
name: settings;<br />
<br />
Mõnel juhul järgneb nimele kohe semikoolon. Näiteks parameeter “nocase;”<br />
<br />
On olemas spetsiifilised sätted metaandmete, päiste, paketi sisu ning paketivoogude kohta:<br />
<br />
[[https://redmine.openinfosecfoundation.org/projects/suricata/wiki/Meta-settings Metaandmete sätted]]<br />
<br />
[[https://redmine.openinfosecfoundation.org/projects/suricata/wiki/Payload_keywords Lasti võtmesõnad]]<br />
<br />
[[https://redmine.openinfosecfoundation.org/projects/suricata/wiki/HTTP-keywords HTTP võtmesõnad]]<br />
<br />
[[https://redmine.openinfosecfoundation.org/projects/suricata/wiki/DNS-keywords DNS võtmesõnad]]<br />
<br />
[[https://redmine.openinfosecfoundation.org/projects/suricata/wiki/Flow-keywords Flow võtmesõnad]]<br />
<br />
[[https://redmine.openinfosecfoundation.org/projects/suricata/wiki/IPReputationRules IP Reputatsiooni reeglid]]<br />
<br />
<br />
==Reegli ehitamine==<br />
Tundes neid põhilisi komponente saame ehitada oma reegli. Oletame, et me tahame ehitada reegli mis genereeriks teate teatud veebilehe poole pöördumisel välisvõrgust. Veebiserver ise asub sisevõrgus.<br />
<br />
Sellisel juhul määrame esmalt tegevuse tüübiks teade. Protokolliks määrame http. Allikaks on $EXTERNAL_NET ning sihtpunktiks on $HOME_NET ja port on 80. Järgnevad reegli valikud mis ümbritsetakse sulgudega. <br />
<br />
Esmalt määrame teate:<br />
msg:“Otsitud liiklus”;<br />
Kui pakett vastab reeglile siis teade kuvatakse koos muude andmetega<br />
Suricata logis.<br />
<br />
Järgnevalt määrame paketivoo:<br />
flow:established,to_server;<br />
Sellega määrame, et paketivoog on alustatud ning suunaga serveri poole<br />
<br />
<br />
Määrame http päringust otsitava stringi(käesoleval juhul on veebilehe nimi “secret_page.html”):<br />
content:”/secret_page.html”; http_uri;<br />
Sellega määrame, et otsitav string on secret_page.html ning see peab sisalduma URIs.<br />
<br />
<br />
Siia juurde määrame ka tüübi ning viite:<br />
classtype:trojan-activity;<br />
reference: url, www.example.com/viide;<br />
Tüüpe on palju erinevaid ja võib ise kirjutatud reegli puhul olla enda valitud.<br />
<br />
Viide on tavaliselt hüperlink mõne antud nõrkuse kirjeldust sisaldavale veebisaidile.<br />
Suricata puhul on selleks tihtipeale: http://doc.emergingthreats.net/<br />
<br />
<br />
Lõpuks määrame ka reegli id ja versiooni numbrid:<br />
sid:123;<br />
rev:1;<br />
Tavaks on, et id on enne versiooni ja nad on kaks viimast parameetrit.<br />
ID nagu ikka on unikaalne numbriline väärtus.<br />
Reegli muutmisel versiooni numbrit suurendatakse.<br />
<br />
Nüüd on komponendid paigas ja aeg reegel kokku panna:<br />
<br />
alert http $EXTERNAL_NET any -> $HOME_NET 80 (msg:“Otsitud liiklus”; flow:established,to_server; content:”/secret_page.html”; <br />
http_uri; classtype:trojan-activity; reference: url, www.example.com/viide;<br />
sid:123; rev:1;)<br />
<br />
==Reeglikogumikud==<br />
<br />
Signatuuri põhised IDS lahendused sarnanevad antiviirustele selles, et ka nemad suudavad tuvastada ainult asju mille jaoks neil on reegel olemas. Suricata ja Snordi mõlema puhul on avalikult kätte saadavad reeglite kogumikud, mida täiendatakse pidevalt.<br />
Suricata puhul on selleks [[http://www.emergingthreats.net/ Emerging Threats]] (edaspidi ET) ning Snordi puhul [[http://www.snort.org/snort-rules VRT]] reeglid.<br />
<br />
ET kogumikku uuendatakse kord päevas ning VRT kogumikku kuni mitu korda nädalas.<br />
Kogumikud on siiski mõlema toote puhul kasutatavad, tänu mõlema lahenduse sarnasusele reeglite aspektis. <br />
Mõlemast on saadaval ka tasulised versioonid ning tasulisi versioone leidub turul teisigi. Tasuliste reeglikogumike eelisteks on tavaliselt kas suurem reeglite arv või lühem uuendamise intervall.<br />
<br />
Reeglikogumikke on võimalik lisada käsitsi, kuid palju optimaalsem ja mugavam lahendus on kasutada mõnda selleks mõeldud tarkvara. Populaarseimad on [[https://code.google.com/p/pulledpork/ PulledPork]] ja [[http://oinkmaster.sourceforge.net/ Oinkmaster]]. <br />
<br />
Antud kursuse praktiliste ülesannete raames kasutame Emerging Threats reeglikogumikku ja halduseks Oinkmasterit.<br />
<br />
<br />
==Kursuse avaleht==<br />
<br />
[[Sissetungi tuvastuse systeemid]]</div>Aellikuhttps://wiki.itcollege.ee/index.php?title=IDS_s%C3%BCsteemid_-_Sissejuhatus&diff=76246IDS süsteemid - Sissejuhatus2014-05-26T22:02:20Z<p>Aelliku: moved IDS süsteemid - Sissejuhatus to IDS systeemid - Sissejuhatus</p>
<hr />
<div>#REDIRECT [[IDS systeemid - Sissejuhatus]]</div>Aellikuhttps://wiki.itcollege.ee/index.php?title=IDS_systeemid_-_Sissejuhatus&diff=76245IDS systeemid - Sissejuhatus2014-05-26T22:02:20Z<p>Aelliku: moved IDS süsteemid - Sissejuhatus to IDS systeemid - Sissejuhatus</p>
<hr />
<div>=Sissejuhatus=<br />
<br />
IDS ehk sissetungi tuvastuse süsteem on tehnoloogiline lahendus arvutivõrgu monitoorimiseks infoturbe tagamise eesmärgil.<br />
IDS lahendusi võib jagada kahte suurde gruppi:<br />
NIDS - Network intrusion detection system ehk võrgu põhine sissetungi tuvastuse süsteem<br />
HIDS - Host based intrusion detection system ehk seadme põhine sissetungi tuvastuse süsteem<br />
<br />
==HIDS==<br />
HIDS lahendused on vähem levinud kuid viimasel ajal on mõned antiviiruse tarkvarad hakanud seda ühe komponendinda kasutama. Avatud lähtekoodiga lahendustest on üks levinumaid OSSEC.<br />
HIDS lahenduste eesmärgiks on teatud kriitiliste süsteemi osade jälgimine. Nende hulka kuuluvad näiteks “RunOnce” registrivõtmed Windowsi puhul ja erinevad ajutiste failide kaustad ehk populaarsed kohad kas pahavara failide hoidmiseks või püsivuse tagamiseks. OSSEC puhul on võimalik defineerida poliitikad, et milliseid faile, kaustu ja registri võtmeid jälgida <br />
Käesoleva kursuse raamidest jääb nende lahenduste lähem tutvustus välja.<br />
<br />
==NIDS==<br />
Tüüpiliselt mõeldakse tavakasutuses IDS lahenduste all just NIDS tüüpi lahendusi. Populaarsemate näidetena võib välja tuua Snort, Suricata ja Bro. Kursuse raames käib teoreetiline ja praktiline materjal Suricata kohta ning lihtsuse mõttes on edaspidi väljendi IDS all mõeldud just Suricatat ehk NIDS tüüpi lahendust.<br />
<br />
IDS poole suunatakse koopia võrguliiklusest mida seejärel IDS analüüsib paketi haaval reeglite kogumiku vastu. Leides vaste väljastatakse selle kohta vastav teade.<br />
<br />
IPS ehk intrusion prevention system(sissetungi takistuse režiim) on spetsiaalne konfiguratsioon IDS puhul, kus võrguliiklust mitte ei kopeerita vaid suunatakse läbi lahenduse ja sellisel juhul on lahendus võimeline automaatselt liiklust blokeerida.<br />
<br />
<br />
<br />
==Võrgu kuulamine==<br />
<br />
IDS jaoks seadistatakse seadmele üks võrguliides valimatus(promiscuous) režiimis. Selle võrguliidese vastu suunatakse ka kogu võrgu liiklus. Sellises režiimis võrgu liides võtab valimatult vastu kõik paketid mis talle nähtavad on.<br />
Võrgu liikluse suunamiseks on kõige tavalisemalt kas võrgukommutaatoris üles seatud pordi peegeldamine(port mirroring) või on kasutatud mingit sorti tap lahendust. Virtuaalkeskkondades kasutatakse ka SPAN tüüpi võrgu seadistust. VMWare keskkonnas tähendab see näiteks võrguliidese liitmist VLAN-i mille ID on 4096. VIrtualBoxi puhul piisab virtuaalmasina võrguliidese seadmisest valimatusse režiimi.<br />
IDS protsess käivitatakse parameetriga mis deklareerib millise pordi pealt tulevat liiklust peab kuulama.<br />
<br />
[[File:Suricata_pcap_auto_pipeline_v1.png]]<br />
<br />
Joonis 1. Paketi liikumine. [[https://redmine.openinfosecfoundation.org/projects/suricata/wiki/Packet_Pipeline Suricata arendajate dokumentatsioon]]<br />
<br />
Sokli tüüp<br />
IDS on võimalik seadistada kasutama kolme erinevat sokli tüüpi (järjestatud jõudluse järgi):<br />
<br />
*pcap<br />
*af_packet<br />
*pf_ring<br />
<br />
Väiksema koormusega võrguliikluse sõlmes piisab pcap sokkli kasutamisest. Sellisel juhul eraldi seadistamist teha ei ole vaja. Suurte koormuste puhul on mõistlik seadistada Suricata kasutama pf_ring tüüpi võrgu soklit.<br />
<br />
==Kursuse avaleht==<br />
[[Sissetungi tuvastuse systeemid]]</div>Aellikuhttps://wiki.itcollege.ee/index.php?title=IDS_Systeemid_-_Labor_1&diff=76244IDS Systeemid - Labor 12014-05-26T22:02:06Z<p>Aelliku: /* Kursuse avaleht */</p>
<hr />
<div>=Labor 1=<br />
<br />
Labori käigus paigaldame Suricata ning testime selle töötamist.<br />
<br />
Seame paika reeglite uuendamise Oinkmasteri abil kasutades EmergingThreats reeglikogumikku ning optimiseerime kasutatavat reeglikogumikku.<br />
<br />
==Ettevalmistused Suricata paigaldamiseks==<br />
<br />
===Seadistame eth1 võrguliidese valimatusse režiimi===<br />
<br />
1. Avame faili interfaces:<br />
<br />
vim /etc/network/interfaces<br />
<br />
2. Lisame eth1 parameetrid:<br />
<br />
auto eth1<br />
iface eth1 inet manual <br />
up ifconfig $IFACE 0.0.0.0 up<br />
up ip link set $IFACE promisc on<br />
down ip link set $IFACE promisc off <br />
down ifconfig $IFACE down<br />
<br />
3. Salvesta ja välju<br />
<br />
4. Teeme võrgu teenusele taaskäivituse<br />
<br />
service networking restart<br />
<br />
5. Kontrollime võrguliidest.<br />
<br />
ifconfig <br />
<br />
<br />
Käsu väljundis näeme kolmandas reas "UP BROADCAST RUNNING PROMISC":<br />
<br />
eth1 Link encap:Ethernet HWaddr 00:0c:29:32:bf:11<br />
inet6 addr: fe80::20c:29ff:fe32:bf11/64 Scope:Link<br />
UP BROADCAST RUNNING PROMISC MULTICAST MTU:1500 Metric:1 <br />
RX packets:1152 errors:0 dropped:0 overruns:0 frame:0 <br />
TX packets:62 errors:0 dropped:0 overruns:0 carrier:0 <br />
collisions:0 txqueuelen:1000 <br />
RX bytes:94351 (94.3 KB) TX bytes:17248 (17.2 KB)<br />
<br />
<br />
<br />
==Suricata paigaldus==<br />
<br />
1. Suricata kasutamisel Ubuntu distributsiooni peal on kõige lihtsam kasutada repositooriumi. Kõigepealt paigaldame paki nimega "python-software-properties", kuna selle sees asub programm "add-apt-repository", mida kasutame järgmisena.<br />
<br />
apt-get install python-software-properties<br />
<br />
2. Lisame repositooriumi ja piagaldame Suricata<br />
<br />
add-apt-repository ppa:oisf/suricata-stable<br />
apt-get update<br />
apt-get install suricata<br />
<br />
3. Suricata uuendamiseks saame kasutada<br />
<br />
apt-get update<br />
apt-get upgrade<br />
<br />
4. Eemaldamiseks<br />
<br />
apt-get remove suricata<br />
<br />
<br />
==Seadistamine==<br />
<br />
===Suricata parameetrite määramine===<br />
<br />
1. Loome logide kausta<br />
<br />
mkdir /var/log/suricata<br />
<br />
2. Avame Suricata konfiguratsiooni faili:<br />
<br />
vim /etc/suricata/suricata.yaml<br />
<br />
Kirjeldame kasutuses olevad operatsiooni süsteemid otsides "suricata.yaml" failist rida "host-os-policy" (VIM-i puhul saab otsimist teostada sisestades "/" ning seejärel otsitava teksti.)<br />
<br />
host-os-policy:<br />
# Make the default policy windows.<br />
windows: []<br />
bsd: []<br />
bsd-right: []<br />
old-linux: []<br />
linux: [192.168.56.200, 192.168.56.201, 192.168.56.101, 127.0.0.1]<br />
old-solaris: []<br />
solaris: []<br />
hpux10: []<br />
hpux11: []<br />
irix: []<br />
macos: []<br />
vista: []<br />
<br />
Kirjeldame ära aadresside grupid. Selleks otsime üles rea "address-groups"<br />
<br />
address-groups:<br />
HOME_NET: "[192.168.56.0/24]"<br />
EXTERNAL_NET: "!$HOME_NET"<br />
<br />
===Enda kirjutatud reeglid===<br />
<br />
1. Enda kirjutatud reeglite kasutamiseks loome faili local.rules<br />
<br />
touch /etc/suricata/rules/local.rules<br />
<br />
Lisame local.rules faili ühe reegli<br />
<br />
vim /etc/suricata/rules/local.rules<br />
<br />
alert ip any any -> any any (msg:"ICMP detected"; sid:2; rev:1;)<br />
<br />
2. Lisame Suricata kofiguratsiooni kohalike reeglite faili.<br />
<br />
vim /etc/suricata/suricata.yaml<br />
<br />
Otsime üles rea "rule-files" ja lisame sinna alla esimese reana local.rules faili.<br />
<br />
rule-files:<br />
- local.rules<br />
- botcc.rules<br />
- ciarmy.rules<br />
- compromised.rules<br />
- drop.rules<br />
- dshield.rules<br />
- emerging-activex.rules<br />
- emerging-attack_response.rules<br />
- emerging-chat.rules<br />
- emerging-current_events.rules<br />
- emerging-dns.rules<br />
- emerging-dos.rules<br />
- emerging-exploit.rules<br />
- emerging-ftp.rules<br />
...<br />
<br />
3. Reegli testimiseks käivitame Suricata ning seadistame kuulama eth1 võrguliidese peale, mille eelnevalt seadistasime valimatusse režiimi.<br />
<br />
suricata -c /etc/suricata/suricata.yaml -i eth1<br />
<br />
4. Pingime kliendi masinast IDS serverit<br />
<br />
ping ids<br />
<br />
5. Kõrvale avame teise ssh ühenduse ids serverisse ja avame Suricata logi<br />
<br />
tail -f /var/log/suricata/fast.log<br />
<br />
Näeme, et logisse lisanduvad teated reeglile vastavast liiklusest<br />
<br />
05/25/2014-13:03:58.407499 [**] [1:2:1] ICMP detected [**] [Classification: (null)] [Priority: 3] {ICMP} 192.168.56.3:8 -> 192.168.56.2:0<br />
05/25/2014-13:03:58.407526 [**] [1:2:1] ICMP detected [**] [Classification: (null)] [Priority: 3] {ICMP} 192.168.56.2:0 -> 192.168.56.3:0<br />
05/25/2014-13:03:59.407073 [**] [1:2:1] ICMP detected [**] [Classification: (null)] [Priority: 3] {ICMP} 192.168.56.3:8 -> 192.168.56.2:0<br />
05/25/2014-13:03:59.407097 [**] [1:2:1] ICMP detected [**] [Classification: (null)] [Priority: 3] {ICMP} 192.168.56.2:0 -> 192.168.56.3:0<br />
<br />
<br />
===Oinkmaster üles seadmine reeglikogumike uuendamiseks===<br />
<br />
1. Paigaldame OinkMasteri<br />
<br />
apt-get install oinkmaster<br />
<br />
On olemas mitmed reeglikogumikke. Praegusel juhul kasutame Emerging Threats (ET) reeglikogumikku.<br />
<br />
Oinkmaster peab teada, kust saab reeglikogumikku alla laadida:<br />
http://rules.emergingthreats.net/open/suricata/emerging.rules.tar.gz<br />
<br />
2. Selle lingi lisamiseks avame oinkmaster.conf faili:<br />
<br />
vim /etc/oinkmaster.conf<br />
<br />
3. Leiame üles rea ET reeglite veebilehele (vim puhul saab otsingut teostada sisestades kõigepealt "/" ning seejärel otsingu stringi):<br />
<br />
/Emerging Threats<br />
<br />
4. Lisame hüperlingi:<br />
<br />
url = http://rules.emergingthreats.net/open/suricata/emerging.rules.tar.gz<br />
<br />
<br />
Pärast muudatuse sisse viimist näeb faili sektsiooni välja selline:<br />
<br />
# Example for rules from the Emerging Threats site (previously known as Bleeding Snort).<br />
# url = http://www.emergingthreats.net/rules/emerging.rules.tar.gz<br />
# Old url:<br />
# url = http://www.bleedingsnort.com/downloads/bleeding.rules.tar.gz<br />
url = http://rules.emergingthreats.net/open/suricata/emerging.rules.tar.gz<br />
<br />
5. Salvesta ja välju failist. Vim puhul, väljuda paoklahviga sisestus režiimist ning seejärel ":wq".<br />
<br />
<br />
6. Uuendame reeglikogumiku:<br />
<br />
cd /etc<br />
oinkmaster -C /etc/oinkmaster.conf -o /etc/suricata/rules<br />
<br />
7. Pärast reeglite alla laadimist ja lahti pakkimist on reeglite kaustast leitavad ka kaks faili nimedega classification. config ja reference.config. Mõlemad on vaja lisada Suricata konfiguratsiooni faili:<br />
<br />
vim /etc/suricata/suricata.yaml<br />
<br />
Konfiguratsioonis otsime üles rea"classification-file" ning muudame ära vajalikud parameetrid. Lõpptulemusena saame: <br />
<br />
classification-file: /etc/suricata/rules/classification.config<br />
reference-config-file: /etc/suricata/rules/reference.config<br />
<br />
8. Testimiseks käivitame suricata:<br />
<br />
suricata -c /etc/suricata/suricata.yaml -i eth1<br />
<br />
9. Käivitamisel näeme, et mitmed reegli failid pole saadaval. Nende mitte kasutamiseks saame suricata.yaml faili rule-files sektsioonis lisada konkreetse reegli faili ette #.<br />
<br />
vim /etc/suricata.yaml<br />
<br />
Lisame # kahe faili ette:<br />
<br />
# - emerging-icmp.rules<br />
# - dns-events.rules<br />
<br />
10. Salvestame ja väljume.<br />
<br />
11. Reeglite hilisemaks uuendamiseks käivitame käsu:<br />
<br />
oinkmaster -C /etc/oinkmaster.conf -o /etc/suricata/rules<br />
<br />
<br />
'''Soovituslik on reegleid tihti uuendada. ET reeglikogumikku uuendatakse korra päevas.'''<br />
<br />
<br />
===Automaatne uuendamine oinkmasteri abil===<br />
<br />
Et muuta reeglite uuendamine lihtsaks ja automaatseks, seadistame croni töö oinkmasteri automaatseks käivitamiseks.<br />
<br />
1. Loome reeglite varundamiseks kausta.<br />
<br />
mkdir /etc/suricata/backup<br />
<br />
2. Lisame uue kasutaja oinkmaster<br />
<br />
useradd oinkmaster<br />
<br />
3. Muudame mõningad failiõigused.<br />
<br />
chown -R oinkmaster /etc/suricata/backup<br />
chown -R oinkmaster /etc/suricata/rules<br />
<br />
4. Testime, kas töötab<br />
<br />
su oinkmaster<br />
oinkmaster -C /etc/oinkmaster.conf -o /etc/suricata/rules -b /etc/suricata/backup 2>&1<br />
<br />
5. Kuna me tahame seda iga päev käivitada, siis lisame crontabi alla vastava töö<br />
<br />
crontab -e -u oinkmaster<br />
<br />
30 00 * * * oinkmaster -o /etc/snort/rules -b /etc/snort/backup 2>&1 >> /dev/null 2>&1<br />
<br />
<br />
===Reeglikogumike optimiseerimine===<br />
<br />
Mida rohkem reegleid on kasutuses, seda rohkem ressurssi on vaja pakettide analüüsimiseks.<br />
Seega mõtekas on keelata need reeglid, mis käivad tehnoloogiate või teenuste vastu mida asutuse infrastruktuuris ei esine.<br />
<br />
Kõigepealt keelame mõned üldised grupid. Selleks avame uuesti Suricata konfiguratsiooni faili:<br />
<br />
vim /etc/suricata/suricata.yaml<br />
<br />
Otsime üles rea "rule-files".<br />
<br />
/rule-files<br />
<br />
Reegli grupi keelamiseks on vaja konkreetne reegli faili välja kommenteerida, lisades rea ette #.<br />
<br />
Oletame, et poliitikatega on infrastruktuuris keelatud ActiveX tehnoloogia kasutamine, ei leia kasutust ftp protokoll ning ei ole ka SCADA seadmeid. <br />
<br />
'''Ülesanne'''<br />
Otsida suricata.yaml failist üles sektsioon "rule-files:" ning kommenteerida välja need 3 reeglite faili mis käsitlevad neid teenuseid (Active-X; FTP; SCADA).<br />
<br />
<br />
===Üksiku või mitme reegli keelamine===<br />
<br />
Üksiku reegli või mitme reegli keelamiseks on vaja leida reegli sid. Seda seetõttu, et sid alusel saab reegli keelata oinkmasteri konfiguratsioonis. Sellisel juhul jääb reegel keelatuks ka pärast reeglikogumiku uuendamist.<br />
<br />
Antud näite puhul ütleme, et asutus on paiganud kõigi Linuxi serverite OpenSSL teegid ning seeläbi kõrvaldanud HeartBleed nimelise nõrkuse. Seega kõik reeglid, mis käsitlevad seda nõrkust võib keelata.<br />
<br />
1. Otsime üles kõik HeartBleedi käsitlevad reeglid.<br />
<br />
cd /etc/suricata/rules<br />
grep -R "HeartBleed"<br />
<br />
<br />
Leiame, et HeartBleedi käsitlevaid reegleid on 6. Kuigi väljastati 12 rida on esimesed 6 rida pärit sid-msg.map failist, kus hoitakse teadete ja reegli id vahelisi seoseid seega need võib välja jätta.<br />
<br />
2. Eraldame välja kõigi 6 reegli sid tunnused.<br />
<br />
grep -R "HeartBleed" | grep -P -o "sid\:\d+" | grep -o -P "\d{2,}+" | tr '\n' ',' >> /etc/oinkmaster.conf<br />
<br />
Üleval nähtava käsuga, filtreerime reegli failidest rekursiivselt välja kõik read kus sisaldub sõna HeartBleed, seejärel eraldame nendest ridadest sid tunnused ja puhastame read üleliigsest. Viimaks asendame tr käsu abil reavahetused komaga ja kirjutame tekkinud rea Oinkmasteri konfiguratsiooni faili lõppu.<br />
<br />
<br />
3. Avame Oinkmasteri konfiguratsiooni ja kerime faili lõppu. Eelmise käsuga sinna kirjutatud sid tunnused on meid ootamas.<br />
<br />
vim /etc/oinkmaster.conf<br />
<br />
4. Kirjutame sid tunnuste ette parameetri "disablesid" ning rea lõppu lisame # ja kommentaari. Lõpptulemusena näeb oinkmasteri konfiguratsiooni faili viimane rida välja selline:<br />
<br />
disablesid 2018377, 2018378, 2018382, 2018383, 2018388, 2018389 # Ei ole enam HeartBleedi haavatavust<br />
<br />
5. Salvestame ja väljume.<br />
<br />
6. Kui käivitame Oinkmasteri uuenduse uuesti, siis näeme millised ja kui mitu reeglit on keelatud.<br />
<br />
oinkmaster -C /etc/oinkmaster.conf -o /etc/suricata/rules<br />
<br />
<br />
==Kursuse avaleht==<br />
<br />
[[Sissetungi tuvastuse systeemid]]</div>Aellikuhttps://wiki.itcollege.ee/index.php?title=IDS_systeemid_-_Reeglid_ja_reeglikogumikud&diff=76243IDS systeemid - Reeglid ja reeglikogumikud2014-05-26T22:01:52Z<p>Aelliku: /* Reeglikogumikud */</p>
<hr />
<div>=Reeglid ja reeglikogumikud=<br />
<br />
Reeglid mängivad väga suurt rolli Suricata puhul. Enamustel juhtudel kasutatakse juba saada olevaid tasuta või tasulisi reeglikogumikke. Kõige populaarsemad on Emerging Threats, Emerging Threats Pro ja Source fire poolt välja antav VRT.<br />
Kõigepealt käsitleme reeglite struktuuri ja nende loomist ning seejärel vaatame üle reeglikogumike lisamise ja haldamise.<br />
<br />
==Reeglid==<br />
Reeglid koosnevad kolmest komponendist:<br />
Tegevus, päis, valikud ehk action, header, rule-options.<br />
<br />
<br />
[[File: Suricata_Intro_sig.png]]<br />
<br />
Joonis 1. [[https://redmine.openinfosecfoundation.org/projects/suricata/wiki/Suricata_Rules Näide Suricata reeglist]]<br />
<br />
<br />
===Tegevus ehk action===<br />
Paketi reeglile vastamisel teostatakse selle komponendi alusel üks neljast tegevusest:<br />
*Pass - Kui pakett vastab reeglile, siis paketi kontrollimine ülejäänud reeglite vastu jäetakse vahele.<br />
*Drop - Oluline ainult IPS režiimid puhul. Reeglile vastamisel ei saadeta paketti edasi ning genereeritakse teade Suricata logisse.<br />
*Reject - Reeglile vastamisel lükatakse pakett tagasi. Nii saatjale kui saadetavale saadetakse TCP ühenduse puhul Reset pakett ning muude protokollide puhul ICMP veateade. Genereeritakse ka teade ning IPS puhul lisandub Drop tegevuse täitmine.<br />
*Alert - Reeglile vastamisel genereeritakse teade.<br />
<br />
<br />
===Päis ehk header===<br />
<br />
'''Protokoll'''<br />
<br />
Tegevusele järgneva võtmesõnaga tähistatakse, millist protokolli antud reegel käsitleb. Ülevalpoole olevas näites on selleks TCP. Valida on 4 valiku vahel: tcp, udp, icm, ip. Ip tähistab ükskõik millist liiklust. Suricata puhul on lisanduvateks võtmesõnadeks: http, tls, ftp, smb ja dns.<br />
Kui signatuuris on defineeritud kindel protokoll siis pakett saab reeglile vastata ainult juhul kui kasutatav protokoll ka vastab.<br />
<br />
<br />
'''Allikas ja sihtpunkt'''<br />
<br />
Mõlema puhul saab määrata võrgu aadressid. Kasutada võib nii IPv4 kui ka IPv6.<br />
Kasutatavad lisa parameetrid on “!” ehk siis not. Näiteks “! 127.0.0.1” tähistab, et kõik aadressid peale selle.<br />
Nurksulgudega (“[ ]”) saab aadresse grupeerida. Näiteks: ! [1.1.1.1, 1.1.1.2] tähistab, et kõik võrguaadressid peale nende kahe. <br />
<br />
Konfiguratsioonis saab seadistada ka lisa parameetreid nagu $HOME_NET ehk alamvõrgud mis on sisevõrgus kasutusel ja $EXTERNAL_NET ehk väline võrk. $EXTERNAL_NET puhul on populaarne seadistada väärtuseks !$HOME_NET ehk siis kõik aadressid peale sisevõrgu aadresside(Mitte kasutada $EXTERNAL_NET parameetrit kui $HOME_NET väärtuseks on “any”).<br />
<br />
Mõningad näited [[https://redmine.openinfosecfoundation.org/projects/suricata/wiki/Suricata_Rules Suricata dokumentatsioonist]]:<br />
<br />
! 1.1.1.1 (Every IP address but 1.1.1.1)<br />
![1.1.1.1, 1.1.1.2] (Every IP address but 1.1.1.1 and 1.1.1.2) <br />
$HOME_NET (Your setting of HOME_NET in yaml)<br />
[$EXTERNAL_NET, !$HOME_NET] (EXTERNAL_NET and not HOME_NET)<br />
[10.0.0.0/24, !10.0.0.5] (10.0.0.0/24 except for 10.0.0.5) <br />
[…..,[....]]<br />
[…. ,![.....]]<br />
<br />
<br />
Allika ja sihtpunkti aadresside juurde saab defineerida ka pordi. Tüüpiliselt on allika port op.süsteemi poolt automaatselt valitud ja seetõttu on tavaliselt reeglites seatud allika pordiks “any”. Seda määrab ka kasutatav protokoll. Samamoodi nagu aadresside puhul on ka portide puhul võimalik kasutada lisa parameetreid:<br />
<br />
“!” - eitus/erand<br />
<br />
“:” - vahemik<br />
<br />
“[ ]” - millised osad kuuluvad kokku<br />
<br />
“,” - eraldamiseks<br />
<br />
<br />
Näited:<br />
[80, 81, 82] (port 80, 81 and 82)<br />
[80: 82] (Range from 80 till 82)<br />
[1024: ] (From 1024 till the highest port-number)<br />
!80 (Every port but 80)<br />
[80:100,!99] (Range from 80 till 100 but 99 excluded)<br />
[1:80,![2,4]]<br />
[….[.....]]<br />
<br />
<br />
Kõigi reeglite puhul määratakse kõige pealt allika aadress ja port, seejärel pannakse paika liikluse suund ning suunale järgneb sihtpunkt.<br />
Suuna saab määrata kahel viisil: <br />
<br />
“->” - tähistab ühe suunalist liiklust.<br />
Näiteks: “allikas -> sihtpunkt” mida illustreerib reegel “alert tcp 1.2.3.4 1024 -> 5.6.7.8 80”<br />
Reegel vastab juhul kui liiklus on aadressilt 1.2.3.4 aadressile 5.6.7.8.<br />
<br />
“<>” - reegel kehtib mõlema suunalise liikluse korral.<br />
<br />
<br />
===Valikud===<br />
<br />
Valikutel on kindel Unixi maailmast tuttav "võti: väärtus" formaat:<br />
name: settings;<br />
<br />
Mõnel juhul järgneb nimele kohe semikoolon. Näiteks parameeter “nocase;”<br />
<br />
On olemas spetsiifilised sätted metaandmete, päiste, paketi sisu ning paketivoogude kohta:<br />
<br />
[[https://redmine.openinfosecfoundation.org/projects/suricata/wiki/Meta-settings Metaandmete sätted]]<br />
<br />
[[https://redmine.openinfosecfoundation.org/projects/suricata/wiki/Payload_keywords Lasti võtmesõnad]]<br />
<br />
[[https://redmine.openinfosecfoundation.org/projects/suricata/wiki/HTTP-keywords HTTP võtmesõnad]]<br />
<br />
[[https://redmine.openinfosecfoundation.org/projects/suricata/wiki/DNS-keywords DNS võtmesõnad]]<br />
<br />
[[https://redmine.openinfosecfoundation.org/projects/suricata/wiki/Flow-keywords Flow võtmesõnad]]<br />
<br />
[[https://redmine.openinfosecfoundation.org/projects/suricata/wiki/IPReputationRules IP Reputatsiooni reeglid]]<br />
<br />
<br />
==Reegli ehitamine==<br />
Tundes neid põhilisi komponente saame ehitada oma reegli. Oletame, et me tahame ehitada reegli mis genereeriks teate teatud veebilehe poole pöördumisel välisvõrgust. Veebiserver ise asub sisevõrgus.<br />
<br />
Sellisel juhul määrame esmalt tegevuse tüübiks teade. Protokolliks määrame http. Allikaks on $EXTERNAL_NET ning sihtpunktiks on $HOME_NET ja port on 80. Järgnevad reegli valikud mis ümbritsetakse sulgudega. <br />
<br />
Esmalt määrame teate:<br />
msg:“Otsitud liiklus”;<br />
Kui pakett vastab reeglile siis teade kuvatakse koos muude andmetega<br />
Suricata logis.<br />
<br />
Järgnevalt määrame paketivoo:<br />
flow:established,to_server;<br />
Sellega määrame, et paketivoog on alustatud ning suunaga serveri poole<br />
<br />
<br />
Määrame http päringust otsitava stringi(käesoleval juhul on veebilehe nimi “secret_page.html”):<br />
content:”/secret_page.html”; http_uri;<br />
Sellega määrame, et otsitav string on secret_page.html ning see peab sisalduma URIs.<br />
<br />
<br />
Siia juurde määrame ka tüübi ning viite:<br />
classtype:trojan-activity;<br />
reference: url, www.example.com/viide;<br />
Tüüpe on palju erinevaid ja võib ise kirjutatud reegli puhul olla enda valitud.<br />
<br />
Viide on tavaliselt hüperlink mõne antud nõrkuse kirjeldust sisaldavale veebisaidile.<br />
Suricata puhul on selleks tihtipeale: http://doc.emergingthreats.net/<br />
<br />
<br />
Lõpuks määrame ka reegli id ja versiooni numbrid:<br />
sid:123;<br />
rev:1;<br />
Tavaks on, et id on enne versiooni ja nad on kaks viimast parameetrit.<br />
ID nagu ikka on unikaalne numbriline väärtus.<br />
Reegli muutmisel versiooni numbrit suurendatakse.<br />
<br />
Nüüd on komponendid paigas ja aeg reegel kokku panna:<br />
<br />
alert http $EXTERNAL_NET any -> $HOME_NET 80 (msg:“Otsitud liiklus”; flow:established,to_server; content:”/secret_page.html”; <br />
http_uri; classtype:trojan-activity; reference: url, www.example.com/viide;<br />
sid:123; rev:1;)<br />
<br />
==Reeglikogumikud==<br />
<br />
Signatuuri põhised IDS lahendused sarnanevad antiviirustele selles, et ka nemad suudavad tuvastada ainult asju mille jaoks neil on reegel olemas. Suricata ja Snordi mõlema puhul on avalikult kätte saadavad reeglite kogumikud, mida täiendatakse pidevalt.<br />
Suricata puhul on selleks [[http://www.emergingthreats.net/ Emerging Threats]] (edaspidi ET) ning Snordi puhul [[http://www.snort.org/snort-rules VRT]] reeglid.<br />
<br />
ET kogumikku uuendatakse kord päevas ning VRT kogumikku kuni mitu korda nädalas.<br />
Kogumikud on siiski mõlema toote puhul kasutatavad, tänu mõlema lahenduse sarnasusele reeglite aspektis. <br />
Mõlemast on saadaval ka tasulised versioonid ning tasulisi versioone leidub turul teisigi. Tasuliste reeglikogumike eelisteks on tavaliselt kas suurem reeglite arv või lühem uuendamise intervall.<br />
<br />
Reeglikogumikke on võimalik lisada käsitsi, kuid palju optimaalsem ja mugavam lahendus on kasutada mõnda selleks mõeldud tarkvara. Populaarseimad on [[https://code.google.com/p/pulledpork/ PulledPork]] ja [[http://oinkmaster.sourceforge.net/ Oinkmaster]]. <br />
<br />
Antud kursuse praktiliste ülesannete raames kasutame Emerging Threats reeglikogumikku ja halduseks Oinkmasterit.<br />
<br />
<br />
==Kursuse avaleht==<br />
<br />
[[Sissetungi tuvastuse systeemid]]</div>Aellikuhttps://wiki.itcollege.ee/index.php?title=IDS_systeemid_-_Sissejuhatus&diff=76242IDS systeemid - Sissejuhatus2014-05-26T22:01:24Z<p>Aelliku: /* Võrgu kuulamine */</p>
<hr />
<div>=Sissejuhatus=<br />
<br />
IDS ehk sissetungi tuvastuse süsteem on tehnoloogiline lahendus arvutivõrgu monitoorimiseks infoturbe tagamise eesmärgil.<br />
IDS lahendusi võib jagada kahte suurde gruppi:<br />
NIDS - Network intrusion detection system ehk võrgu põhine sissetungi tuvastuse süsteem<br />
HIDS - Host based intrusion detection system ehk seadme põhine sissetungi tuvastuse süsteem<br />
<br />
==HIDS==<br />
HIDS lahendused on vähem levinud kuid viimasel ajal on mõned antiviiruse tarkvarad hakanud seda ühe komponendinda kasutama. Avatud lähtekoodiga lahendustest on üks levinumaid OSSEC.<br />
HIDS lahenduste eesmärgiks on teatud kriitiliste süsteemi osade jälgimine. Nende hulka kuuluvad näiteks “RunOnce” registrivõtmed Windowsi puhul ja erinevad ajutiste failide kaustad ehk populaarsed kohad kas pahavara failide hoidmiseks või püsivuse tagamiseks. OSSEC puhul on võimalik defineerida poliitikad, et milliseid faile, kaustu ja registri võtmeid jälgida <br />
Käesoleva kursuse raamidest jääb nende lahenduste lähem tutvustus välja.<br />
<br />
==NIDS==<br />
Tüüpiliselt mõeldakse tavakasutuses IDS lahenduste all just NIDS tüüpi lahendusi. Populaarsemate näidetena võib välja tuua Snort, Suricata ja Bro. Kursuse raames käib teoreetiline ja praktiline materjal Suricata kohta ning lihtsuse mõttes on edaspidi väljendi IDS all mõeldud just Suricatat ehk NIDS tüüpi lahendust.<br />
<br />
IDS poole suunatakse koopia võrguliiklusest mida seejärel IDS analüüsib paketi haaval reeglite kogumiku vastu. Leides vaste väljastatakse selle kohta vastav teade.<br />
<br />
IPS ehk intrusion prevention system(sissetungi takistuse režiim) on spetsiaalne konfiguratsioon IDS puhul, kus võrguliiklust mitte ei kopeerita vaid suunatakse läbi lahenduse ja sellisel juhul on lahendus võimeline automaatselt liiklust blokeerida.<br />
<br />
<br />
<br />
==Võrgu kuulamine==<br />
<br />
IDS jaoks seadistatakse seadmele üks võrguliides valimatus(promiscuous) režiimis. Selle võrguliidese vastu suunatakse ka kogu võrgu liiklus. Sellises režiimis võrgu liides võtab valimatult vastu kõik paketid mis talle nähtavad on.<br />
Võrgu liikluse suunamiseks on kõige tavalisemalt kas võrgukommutaatoris üles seatud pordi peegeldamine(port mirroring) või on kasutatud mingit sorti tap lahendust. Virtuaalkeskkondades kasutatakse ka SPAN tüüpi võrgu seadistust. VMWare keskkonnas tähendab see näiteks võrguliidese liitmist VLAN-i mille ID on 4096. VIrtualBoxi puhul piisab virtuaalmasina võrguliidese seadmisest valimatusse režiimi.<br />
IDS protsess käivitatakse parameetriga mis deklareerib millise pordi pealt tulevat liiklust peab kuulama.<br />
<br />
[[File:Suricata_pcap_auto_pipeline_v1.png]]<br />
<br />
Joonis 1. Paketi liikumine. [[https://redmine.openinfosecfoundation.org/projects/suricata/wiki/Packet_Pipeline Suricata arendajate dokumentatsioon]]<br />
<br />
Sokli tüüp<br />
IDS on võimalik seadistada kasutama kolme erinevat sokli tüüpi (järjestatud jõudluse järgi):<br />
<br />
*pcap<br />
*af_packet<br />
*pf_ring<br />
<br />
Väiksema koormusega võrguliikluse sõlmes piisab pcap sokkli kasutamisest. Sellisel juhul eraldi seadistamist teha ei ole vaja. Suurte koormuste puhul on mõistlik seadistada Suricata kasutama pf_ring tüüpi võrgu soklit.<br />
<br />
==Kursuse avaleht==<br />
[[Sissetungi tuvastuse systeemid]]</div>Aellikuhttps://wiki.itcollege.ee/index.php?title=Sissetungi_tuvastuse_s%C3%BCsteemid&diff=76241Sissetungi tuvastuse süsteemid2014-05-26T22:00:46Z<p>Aelliku: moved Sissetungi tuvastuse süsteemid to Sissetungi tuvastuse systeemid:&#32;Kodeerimise viga ü tähe kasutamisel</p>
<hr />
<div>#REDIRECT [[Sissetungi tuvastuse systeemid]]</div>Aellikuhttps://wiki.itcollege.ee/index.php?title=Sissetungi_tuvastuse_systeemid&diff=76240Sissetungi tuvastuse systeemid2014-05-26T22:00:46Z<p>Aelliku: moved Sissetungi tuvastuse süsteemid to Sissetungi tuvastuse systeemid:&#32;Kodeerimise viga ü tähe kasutamisel</p>
<hr />
<div>=Üldinfo=<br />
'''Kursus on hetkel koostamisel.'''<br />
<br />
Hindamisviis: Arvestus<br />
<br />
'''Rangelt soovituslik aine:''' Operatsioonisüsteemide administreerimine ja sidumine (I233)<br />
<br />
==Õppejõud==<br />
<br />
=Eesmärk ja sisu=<br />
Tutvustada sissetungi tuvastuse süsteemide (edaspidi IDS) põhimõisteid. Anda oskused nende paigaldamiseks ja haldamiseks. Kursus sisaldab teoreetilisi materjale alus- ja põhimõistete tutvustamiseks, laboratoorseid töid, mille käigus paigaldatakse IDS lahendus, teostatakse põhilisi IDS süsteemi haldustoiminguid ning simuleeritakse võrgurünnete tuvastamist. <br />
<br />
=Loengud=<br />
<br />
[[IDS süsteemid - Sissejuhatus]]<br />
<br />
[[IDS süsteemid - Reeglid ja reeglikogumikud]]<br />
<br />
=Praktilised ülesanded=<br />
<br />
[[IDS Süsteemid - Labor 1]]</div>Aellikuhttps://wiki.itcollege.ee/index.php?title=IDS_Systeemid_-_Labor_1&diff=76239IDS Systeemid - Labor 12014-05-26T21:56:23Z<p>Aelliku: </p>
<hr />
<div>=Labor 1=<br />
<br />
Labori käigus paigaldame Suricata ning testime selle töötamist.<br />
<br />
Seame paika reeglite uuendamise Oinkmasteri abil kasutades EmergingThreats reeglikogumikku ning optimiseerime kasutatavat reeglikogumikku.<br />
<br />
==Ettevalmistused Suricata paigaldamiseks==<br />
<br />
===Seadistame eth1 võrguliidese valimatusse režiimi===<br />
<br />
1. Avame faili interfaces:<br />
<br />
vim /etc/network/interfaces<br />
<br />
2. Lisame eth1 parameetrid:<br />
<br />
auto eth1<br />
iface eth1 inet manual <br />
up ifconfig $IFACE 0.0.0.0 up<br />
up ip link set $IFACE promisc on<br />
down ip link set $IFACE promisc off <br />
down ifconfig $IFACE down<br />
<br />
3. Salvesta ja välju<br />
<br />
4. Teeme võrgu teenusele taaskäivituse<br />
<br />
service networking restart<br />
<br />
5. Kontrollime võrguliidest.<br />
<br />
ifconfig <br />
<br />
<br />
Käsu väljundis näeme kolmandas reas "UP BROADCAST RUNNING PROMISC":<br />
<br />
eth1 Link encap:Ethernet HWaddr 00:0c:29:32:bf:11<br />
inet6 addr: fe80::20c:29ff:fe32:bf11/64 Scope:Link<br />
UP BROADCAST RUNNING PROMISC MULTICAST MTU:1500 Metric:1 <br />
RX packets:1152 errors:0 dropped:0 overruns:0 frame:0 <br />
TX packets:62 errors:0 dropped:0 overruns:0 carrier:0 <br />
collisions:0 txqueuelen:1000 <br />
RX bytes:94351 (94.3 KB) TX bytes:17248 (17.2 KB)<br />
<br />
<br />
<br />
==Suricata paigaldus==<br />
<br />
1. Suricata kasutamisel Ubuntu distributsiooni peal on kõige lihtsam kasutada repositooriumi. Kõigepealt paigaldame paki nimega "python-software-properties", kuna selle sees asub programm "add-apt-repository", mida kasutame järgmisena.<br />
<br />
apt-get install python-software-properties<br />
<br />
2. Lisame repositooriumi ja piagaldame Suricata<br />
<br />
add-apt-repository ppa:oisf/suricata-stable<br />
apt-get update<br />
apt-get install suricata<br />
<br />
3. Suricata uuendamiseks saame kasutada<br />
<br />
apt-get update<br />
apt-get upgrade<br />
<br />
4. Eemaldamiseks<br />
<br />
apt-get remove suricata<br />
<br />
<br />
==Seadistamine==<br />
<br />
===Suricata parameetrite määramine===<br />
<br />
1. Loome logide kausta<br />
<br />
mkdir /var/log/suricata<br />
<br />
2. Avame Suricata konfiguratsiooni faili:<br />
<br />
vim /etc/suricata/suricata.yaml<br />
<br />
Kirjeldame kasutuses olevad operatsiooni süsteemid otsides "suricata.yaml" failist rida "host-os-policy" (VIM-i puhul saab otsimist teostada sisestades "/" ning seejärel otsitava teksti.)<br />
<br />
host-os-policy:<br />
# Make the default policy windows.<br />
windows: []<br />
bsd: []<br />
bsd-right: []<br />
old-linux: []<br />
linux: [192.168.56.200, 192.168.56.201, 192.168.56.101, 127.0.0.1]<br />
old-solaris: []<br />
solaris: []<br />
hpux10: []<br />
hpux11: []<br />
irix: []<br />
macos: []<br />
vista: []<br />
<br />
Kirjeldame ära aadresside grupid. Selleks otsime üles rea "address-groups"<br />
<br />
address-groups:<br />
HOME_NET: "[192.168.56.0/24]"<br />
EXTERNAL_NET: "!$HOME_NET"<br />
<br />
===Enda kirjutatud reeglid===<br />
<br />
1. Enda kirjutatud reeglite kasutamiseks loome faili local.rules<br />
<br />
touch /etc/suricata/rules/local.rules<br />
<br />
Lisame local.rules faili ühe reegli<br />
<br />
vim /etc/suricata/rules/local.rules<br />
<br />
alert ip any any -> any any (msg:"ICMP detected"; sid:2; rev:1;)<br />
<br />
2. Lisame Suricata kofiguratsiooni kohalike reeglite faili.<br />
<br />
vim /etc/suricata/suricata.yaml<br />
<br />
Otsime üles rea "rule-files" ja lisame sinna alla esimese reana local.rules faili.<br />
<br />
rule-files:<br />
- local.rules<br />
- botcc.rules<br />
- ciarmy.rules<br />
- compromised.rules<br />
- drop.rules<br />
- dshield.rules<br />
- emerging-activex.rules<br />
- emerging-attack_response.rules<br />
- emerging-chat.rules<br />
- emerging-current_events.rules<br />
- emerging-dns.rules<br />
- emerging-dos.rules<br />
- emerging-exploit.rules<br />
- emerging-ftp.rules<br />
...<br />
<br />
3. Reegli testimiseks käivitame Suricata ning seadistame kuulama eth1 võrguliidese peale, mille eelnevalt seadistasime valimatusse režiimi.<br />
<br />
suricata -c /etc/suricata/suricata.yaml -i eth1<br />
<br />
4. Pingime kliendi masinast IDS serverit<br />
<br />
ping ids<br />
<br />
5. Kõrvale avame teise ssh ühenduse ids serverisse ja avame Suricata logi<br />
<br />
tail -f /var/log/suricata/fast.log<br />
<br />
Näeme, et logisse lisanduvad teated reeglile vastavast liiklusest<br />
<br />
05/25/2014-13:03:58.407499 [**] [1:2:1] ICMP detected [**] [Classification: (null)] [Priority: 3] {ICMP} 192.168.56.3:8 -> 192.168.56.2:0<br />
05/25/2014-13:03:58.407526 [**] [1:2:1] ICMP detected [**] [Classification: (null)] [Priority: 3] {ICMP} 192.168.56.2:0 -> 192.168.56.3:0<br />
05/25/2014-13:03:59.407073 [**] [1:2:1] ICMP detected [**] [Classification: (null)] [Priority: 3] {ICMP} 192.168.56.3:8 -> 192.168.56.2:0<br />
05/25/2014-13:03:59.407097 [**] [1:2:1] ICMP detected [**] [Classification: (null)] [Priority: 3] {ICMP} 192.168.56.2:0 -> 192.168.56.3:0<br />
<br />
<br />
===Oinkmaster üles seadmine reeglikogumike uuendamiseks===<br />
<br />
1. Paigaldame OinkMasteri<br />
<br />
apt-get install oinkmaster<br />
<br />
On olemas mitmed reeglikogumikke. Praegusel juhul kasutame Emerging Threats (ET) reeglikogumikku.<br />
<br />
Oinkmaster peab teada, kust saab reeglikogumikku alla laadida:<br />
http://rules.emergingthreats.net/open/suricata/emerging.rules.tar.gz<br />
<br />
2. Selle lingi lisamiseks avame oinkmaster.conf faili:<br />
<br />
vim /etc/oinkmaster.conf<br />
<br />
3. Leiame üles rea ET reeglite veebilehele (vim puhul saab otsingut teostada sisestades kõigepealt "/" ning seejärel otsingu stringi):<br />
<br />
/Emerging Threats<br />
<br />
4. Lisame hüperlingi:<br />
<br />
url = http://rules.emergingthreats.net/open/suricata/emerging.rules.tar.gz<br />
<br />
<br />
Pärast muudatuse sisse viimist näeb faili sektsiooni välja selline:<br />
<br />
# Example for rules from the Emerging Threats site (previously known as Bleeding Snort).<br />
# url = http://www.emergingthreats.net/rules/emerging.rules.tar.gz<br />
# Old url:<br />
# url = http://www.bleedingsnort.com/downloads/bleeding.rules.tar.gz<br />
url = http://rules.emergingthreats.net/open/suricata/emerging.rules.tar.gz<br />
<br />
5. Salvesta ja välju failist. Vim puhul, väljuda paoklahviga sisestus režiimist ning seejärel ":wq".<br />
<br />
<br />
6. Uuendame reeglikogumiku:<br />
<br />
cd /etc<br />
oinkmaster -C /etc/oinkmaster.conf -o /etc/suricata/rules<br />
<br />
7. Pärast reeglite alla laadimist ja lahti pakkimist on reeglite kaustast leitavad ka kaks faili nimedega classification. config ja reference.config. Mõlemad on vaja lisada Suricata konfiguratsiooni faili:<br />
<br />
vim /etc/suricata/suricata.yaml<br />
<br />
Konfiguratsioonis otsime üles rea"classification-file" ning muudame ära vajalikud parameetrid. Lõpptulemusena saame: <br />
<br />
classification-file: /etc/suricata/rules/classification.config<br />
reference-config-file: /etc/suricata/rules/reference.config<br />
<br />
8. Testimiseks käivitame suricata:<br />
<br />
suricata -c /etc/suricata/suricata.yaml -i eth1<br />
<br />
9. Käivitamisel näeme, et mitmed reegli failid pole saadaval. Nende mitte kasutamiseks saame suricata.yaml faili rule-files sektsioonis lisada konkreetse reegli faili ette #.<br />
<br />
vim /etc/suricata.yaml<br />
<br />
Lisame # kahe faili ette:<br />
<br />
# - emerging-icmp.rules<br />
# - dns-events.rules<br />
<br />
10. Salvestame ja väljume.<br />
<br />
11. Reeglite hilisemaks uuendamiseks käivitame käsu:<br />
<br />
oinkmaster -C /etc/oinkmaster.conf -o /etc/suricata/rules<br />
<br />
<br />
'''Soovituslik on reegleid tihti uuendada. ET reeglikogumikku uuendatakse korra päevas.'''<br />
<br />
<br />
===Automaatne uuendamine oinkmasteri abil===<br />
<br />
Et muuta reeglite uuendamine lihtsaks ja automaatseks, seadistame croni töö oinkmasteri automaatseks käivitamiseks.<br />
<br />
1. Loome reeglite varundamiseks kausta.<br />
<br />
mkdir /etc/suricata/backup<br />
<br />
2. Lisame uue kasutaja oinkmaster<br />
<br />
useradd oinkmaster<br />
<br />
3. Muudame mõningad failiõigused.<br />
<br />
chown -R oinkmaster /etc/suricata/backup<br />
chown -R oinkmaster /etc/suricata/rules<br />
<br />
4. Testime, kas töötab<br />
<br />
su oinkmaster<br />
oinkmaster -C /etc/oinkmaster.conf -o /etc/suricata/rules -b /etc/suricata/backup 2>&1<br />
<br />
5. Kuna me tahame seda iga päev käivitada, siis lisame crontabi alla vastava töö<br />
<br />
crontab -e -u oinkmaster<br />
<br />
30 00 * * * oinkmaster -o /etc/snort/rules -b /etc/snort/backup 2>&1 >> /dev/null 2>&1<br />
<br />
<br />
===Reeglikogumike optimiseerimine===<br />
<br />
Mida rohkem reegleid on kasutuses, seda rohkem ressurssi on vaja pakettide analüüsimiseks.<br />
Seega mõtekas on keelata need reeglid, mis käivad tehnoloogiate või teenuste vastu mida asutuse infrastruktuuris ei esine.<br />
<br />
Kõigepealt keelame mõned üldised grupid. Selleks avame uuesti Suricata konfiguratsiooni faili:<br />
<br />
vim /etc/suricata/suricata.yaml<br />
<br />
Otsime üles rea "rule-files".<br />
<br />
/rule-files<br />
<br />
Reegli grupi keelamiseks on vaja konkreetne reegli faili välja kommenteerida, lisades rea ette #.<br />
<br />
Oletame, et poliitikatega on infrastruktuuris keelatud ActiveX tehnoloogia kasutamine, ei leia kasutust ftp protokoll ning ei ole ka SCADA seadmeid. <br />
<br />
'''Ülesanne'''<br />
Otsida suricata.yaml failist üles sektsioon "rule-files:" ning kommenteerida välja need 3 reeglite faili mis käsitlevad neid teenuseid (Active-X; FTP; SCADA).<br />
<br />
<br />
===Üksiku või mitme reegli keelamine===<br />
<br />
Üksiku reegli või mitme reegli keelamiseks on vaja leida reegli sid. Seda seetõttu, et sid alusel saab reegli keelata oinkmasteri konfiguratsioonis. Sellisel juhul jääb reegel keelatuks ka pärast reeglikogumiku uuendamist.<br />
<br />
Antud näite puhul ütleme, et asutus on paiganud kõigi Linuxi serverite OpenSSL teegid ning seeläbi kõrvaldanud HeartBleed nimelise nõrkuse. Seega kõik reeglid, mis käsitlevad seda nõrkust võib keelata.<br />
<br />
1. Otsime üles kõik HeartBleedi käsitlevad reeglid.<br />
<br />
cd /etc/suricata/rules<br />
grep -R "HeartBleed"<br />
<br />
<br />
Leiame, et HeartBleedi käsitlevaid reegleid on 6. Kuigi väljastati 12 rida on esimesed 6 rida pärit sid-msg.map failist, kus hoitakse teadete ja reegli id vahelisi seoseid seega need võib välja jätta.<br />
<br />
2. Eraldame välja kõigi 6 reegli sid tunnused.<br />
<br />
grep -R "HeartBleed" | grep -P -o "sid\:\d+" | grep -o -P "\d{2,}+" | tr '\n' ',' >> /etc/oinkmaster.conf<br />
<br />
Üleval nähtava käsuga, filtreerime reegli failidest rekursiivselt välja kõik read kus sisaldub sõna HeartBleed, seejärel eraldame nendest ridadest sid tunnused ja puhastame read üleliigsest. Viimaks asendame tr käsu abil reavahetused komaga ja kirjutame tekkinud rea Oinkmasteri konfiguratsiooni faili lõppu.<br />
<br />
<br />
3. Avame Oinkmasteri konfiguratsiooni ja kerime faili lõppu. Eelmise käsuga sinna kirjutatud sid tunnused on meid ootamas.<br />
<br />
vim /etc/oinkmaster.conf<br />
<br />
4. Kirjutame sid tunnuste ette parameetri "disablesid" ning rea lõppu lisame # ja kommentaari. Lõpptulemusena näeb oinkmasteri konfiguratsiooni faili viimane rida välja selline:<br />
<br />
disablesid 2018377, 2018378, 2018382, 2018383, 2018388, 2018389 # Ei ole enam HeartBleedi haavatavust<br />
<br />
5. Salvestame ja väljume.<br />
<br />
6. Kui käivitame Oinkmasteri uuenduse uuesti, siis näeme millised ja kui mitu reeglit on keelatud.<br />
<br />
oinkmaster -C /etc/oinkmaster.conf -o /etc/suricata/rules<br />
<br />
<br />
==Kursuse avaleht==<br />
<br />
[[Sissetungi tuvastuse süsteemid]]</div>Aellikuhttps://wiki.itcollege.ee/index.php?title=IDS_Systeemid_-_Labor_1&diff=76238IDS Systeemid - Labor 12014-05-26T21:52:04Z<p>Aelliku: </p>
<hr />
<div>=Labor 1=<br />
<br />
Labori käigus paigaldame Suricata ning testime selle töötamist.<br />
<br />
Seame paika reeglite uuendamise Oinkmasteri abil kasutades EmergingThreats reeglikogumikku ning optimiseerime kasutatavat reeglikogumikku.<br />
<br />
==Ettevalmistused Suricata paigaldamiseks==<br />
<br />
===Seadistame eth1 võrguliidese valimatusse režiimi===<br />
<br />
1. Avame faili interfaces:<br />
<br />
vim /etc/network/interfaces<br />
<br />
2. Lisame eth1 parameetrid:<br />
<br />
auto eth1<br />
iface eth1 inet manual <br />
up ifconfig $IFACE 0.0.0.0 up<br />
up ip link set $IFACE promisc on<br />
down ip link set $IFACE promisc off <br />
down ifconfig $IFACE down<br />
<br />
3. Salvesta ja välju<br />
<br />
4. Teeme võrgu teenusele taaskäivituse<br />
<br />
service networking restart<br />
<br />
5. Kontrollime võrguliidest.<br />
<br />
ifconfig <br />
<br />
<br />
Käsu väljundis näeme kolmandas reas "UP BROADCAST RUNNING PROMISC":<br />
<br />
eth1 Link encap:Ethernet HWaddr 00:0c:29:32:bf:11<br />
inet6 addr: fe80::20c:29ff:fe32:bf11/64 Scope:Link<br />
UP BROADCAST RUNNING PROMISC MULTICAST MTU:1500 Metric:1 <br />
RX packets:1152 errors:0 dropped:0 overruns:0 frame:0 <br />
TX packets:62 errors:0 dropped:0 overruns:0 carrier:0 <br />
collisions:0 txqueuelen:1000 <br />
RX bytes:94351 (94.3 KB) TX bytes:17248 (17.2 KB)<br />
<br />
<br />
<br />
==Suricata paigaldus==<br />
<br />
1. Suricata kasutamisel Ubuntu distributsiooni peal on kõige lihtsam kasutada repositooriumi. Kõigepealt paigaldame paki nimega "python-software-properties", kuna selle sees asub programm "add-apt-repository", mida kasutame järgmisena.<br />
<br />
apt-get install python-software-properties<br />
<br />
2. Lisame repositooriumi ja piagaldame Suricata<br />
<br />
add-apt-repository ppa:oisf/suricata-stable<br />
apt-get update<br />
apt-get install suricata<br />
<br />
3. Suricata uuendamiseks saame kasutada<br />
<br />
apt-get update<br />
apt-get upgrade<br />
<br />
4. Eemaldamiseks<br />
<br />
apt-get remove suricata<br />
<br />
<br />
==Seadistamine==<br />
<br />
===Suricata parameetrite määramine===<br />
<br />
1. Loome logide kausta<br />
<br />
mkdir /var/log/suricata<br />
<br />
2. Avame Suricata konfiguratsiooni faili:<br />
<br />
vim /etc/suricata/suricata.yaml<br />
<br />
Kirjeldame kasutuses olevad operatsiooni süsteemid otsides "suricata.yaml" failist rida "host-os-policy" (VIM-i puhul saab otsimist teostada sisestades "/" ning seejärel otsitava teksti.)<br />
<br />
host-os-policy:<br />
# Make the default policy windows.<br />
windows: []<br />
bsd: []<br />
bsd-right: []<br />
old-linux: []<br />
linux: [192.168.56.200, 192.168.56.201, 192.168.56.101, 127.0.0.1]<br />
old-solaris: []<br />
solaris: []<br />
hpux10: []<br />
hpux11: []<br />
irix: []<br />
macos: []<br />
vista: []<br />
<br />
Kirjeldame ära aadresside grupid. Selleks otsime üles rea "address-groups"<br />
<br />
address-groups:<br />
HOME_NET: "[192.168.56.0/24]"<br />
EXTERNAL_NET: "!$HOME_NET"<br />
<br />
===Enda kirjutatud reeglid===<br />
<br />
1. Enda kirjutatud reeglite kasutamiseks loome faili local.rules<br />
<br />
touch /etc/suricata/rules/local.rules<br />
<br />
Lisame local.rules faili ühe reegli<br />
<br />
vim /etc/suricata/rules/local.rules<br />
<br />
alert ip any any -> any any (msg:"ICMP detected"; sid:2; rev:1;)<br />
<br />
2. Lisame Suricata kofiguratsiooni kohalike reeglite faili.<br />
<br />
vim /etc/suricata/suricata.yaml<br />
<br />
Otsime üles rea "rule-files" ja lisame sinna alla esimese reana local.rules faili.<br />
<br />
rule-files:<br />
- local.rules<br />
- botcc.rules<br />
- ciarmy.rules<br />
- compromised.rules<br />
- drop.rules<br />
- dshield.rules<br />
- emerging-activex.rules<br />
- emerging-attack_response.rules<br />
- emerging-chat.rules<br />
- emerging-current_events.rules<br />
- emerging-dns.rules<br />
- emerging-dos.rules<br />
- emerging-exploit.rules<br />
- emerging-ftp.rules<br />
...<br />
<br />
3. Reegli testimiseks käivitame Suricata ning seadistame kuulama eth1 võrguliidese peale, mille eelnevalt seadistasime valimatusse režiimi.<br />
<br />
suricata -c /etc/suricata/suricata.yaml -i eth1<br />
<br />
4. Pingime kliendi masinast IDS serverit<br />
<br />
ping ids<br />
<br />
5. Kõrvale avame teise ssh ühenduse ids serverisse ja avame Suricata logi<br />
<br />
tail -f /var/log/suricata/fast.log<br />
<br />
Näeme, et logisse lisanduvad teated reeglile vastavast liiklusest<br />
<br />
05/25/2014-13:03:58.407499 [**] [1:2:1] ICMP detected [**] [Classification: (null)] [Priority: 3] {ICMP} 192.168.56.3:8 -> 192.168.56.2:0<br />
05/25/2014-13:03:58.407526 [**] [1:2:1] ICMP detected [**] [Classification: (null)] [Priority: 3] {ICMP} 192.168.56.2:0 -> 192.168.56.3:0<br />
05/25/2014-13:03:59.407073 [**] [1:2:1] ICMP detected [**] [Classification: (null)] [Priority: 3] {ICMP} 192.168.56.3:8 -> 192.168.56.2:0<br />
05/25/2014-13:03:59.407097 [**] [1:2:1] ICMP detected [**] [Classification: (null)] [Priority: 3] {ICMP} 192.168.56.2:0 -> 192.168.56.3:0<br />
<br />
<br />
===Oinkmaster üles seadmine reeglikogumike uuendamiseks===<br />
<br />
1. Paigaldame OinkMasteri<br />
<br />
apt-get install oinkmaster<br />
<br />
On olemas mitmed reeglikogumikke. Praegusel juhul kasutame Emerging Threats (ET) reeglikogumikku.<br />
<br />
Oinkmaster peab teada, kust saab reeglikogumikku alla laadida:<br />
http://rules.emergingthreats.net/open/suricata/emerging.rules.tar.gz<br />
<br />
2. Selle lingi lisamiseks avame oinkmaster.conf faili:<br />
<br />
vim /etc/oinkmaster.conf<br />
<br />
3. Leiame üles rea ET reeglite veebilehele (vim puhul saab otsingut teostada sisestades kõigepealt "/" ning seejärel otsingu stringi):<br />
<br />
/Emerging Threats<br />
<br />
4. Lisame hüperlingi:<br />
<br />
url = http://rules.emergingthreats.net/open/suricata/emerging.rules.tar.gz<br />
<br />
<br />
Pärast muudatuse sisse viimist näeb faili sektsiooni välja selline:<br />
<br />
# Example for rules from the Emerging Threats site (previously known as Bleeding Snort).<br />
# url = http://www.emergingthreats.net/rules/emerging.rules.tar.gz<br />
# Old url:<br />
# url = http://www.bleedingsnort.com/downloads/bleeding.rules.tar.gz<br />
url = http://rules.emergingthreats.net/open/suricata/emerging.rules.tar.gz<br />
<br />
5. Salvesta ja välju failist. Vim puhul, väljuda paoklahviga sisestus režiimist ning seejärel ":wq".<br />
<br />
<br />
6. Uuendame reeglikogumiku:<br />
<br />
cd /etc<br />
oinkmaster -C /etc/oinkmaster.conf -o /etc/suricata/rules<br />
<br />
7. Pärast reeglite alla laadimist ja lahti pakkimist on reeglite kaustast leitavad ka kaks faili nimedega classification. config ja reference.config. Mõlemad on vaja lisada Suricata konfiguratsiooni faili:<br />
<br />
vim /etc/suricata/suricata.yaml<br />
<br />
Konfiguratsioonis otsime üles rea"classification-file" ning muudame ära vajalikud parameetrid. Lõpptulemusena saame: <br />
<br />
classification-file: /etc/suricata/rules/classification.config<br />
reference-config-file: /etc/suricata/rules/reference.config<br />
<br />
8. Testimiseks käivitame suricata:<br />
<br />
suricata -c /etc/suricata/suricata.yaml -i eth1<br />
<br />
9. Käivitamisel näeme, et mitmed reegli failid pole saadaval. Nende mitte kasutamiseks saame suricata.yaml faili rule-files sektsioonis lisada konkreetse reegli faili ette #.<br />
<br />
vim /etc/suricata.yaml<br />
<br />
Lisame # kahe faili ette:<br />
<br />
# - emerging-icmp.rules<br />
# - dns-events.rules<br />
<br />
10. Salvestame ja väljume.<br />
<br />
11. Reeglite hilisemaks uuendamiseks käivitame käsu:<br />
<br />
oinkmaster -C /etc/oinkmaster.conf -o /etc/suricata/rules<br />
<br />
<br />
'''Soovituslik on reegleid tihti uuendada. ET reeglikogumikku uuendatakse korra päevas.'''<br />
<br />
<br />
===Automaatne uuendamine oinkmasteri abil===<br />
<br />
Et muuta reeglite uuendamine lihtsaks ja automaatseks, seadistame croni töö oinkmasteri automaatseks käivitamiseks.<br />
<br />
1. Loome reeglite varundamiseks kausta.<br />
<br />
mkdir /etc/suricata/backup<br />
<br />
2. Lisame uue kasutaja oinkmaster<br />
<br />
useradd oinkmaster<br />
<br />
3. Muudame mõningad failiõigused.<br />
<br />
chown -R oinkmaster /etc/suricata/backup<br />
chown -R oinkmaster /etc/suricata/rules<br />
<br />
4. Testime, kas töötab<br />
<br />
su oinkmaster<br />
oinkmaster -C /etc/oinkmaster.conf -o /etc/suricata/rules -b /etc/suricata/backup 2>&1<br />
<br />
5. Kuna me tahame seda iga päev käivitada, siis lisame crontabi alla vastava töö<br />
<br />
crontab -e -u oinkmaster<br />
<br />
30 00 * * * oinkmaster -o /etc/snort/rules -b /etc/snort/backup 2>&1 >> /dev/null 2>&1<br />
<br />
<br />
===Reeglikogumike optimiseerimine===<br />
<br />
Mida rohkem reegleid on kasutuses, seda rohkem ressurssi on vaja pakettide analüüsimiseks.<br />
Seega mõtekas on keelata need reeglid, mis käivad tehnoloogiate või teenuste vastu mida asutuse infrastruktuuris ei esine.<br />
<br />
Kõigepealt keelame mõned üldised grupid. Selleks avame uuesti Suricata konfiguratsiooni faili:<br />
<br />
vim /etc/suricata/suricata.yaml<br />
<br />
Otsime üles rea "rule-files".<br />
<br />
/rule-files<br />
<br />
Reegli grupi keelamiseks on vaja konkreetne reegli faili välja kommenteerida, lisades rea ette #.<br />
<br />
Oletame, et poliitikatega on infrastruktuuris keelatud ActiveX tehnoloogia kasutamine, ei leia kasutust ftp protokoll ning ei ole ka SCADA seadmeid. <br />
<br />
'''Ülesanne'''<br />
Otsida suricata.yaml failist üles sektsioon "rule-files:" ning kommenteerida välja need 3 reeglite faili mis käsitlevad neid teenuseid (Active-X; FTP; SCADA).<br />
<br />
<br />
===Üksiku või mitme reegli keelamine===<br />
<br />
Üksiku reegli või mitme reegli keelamiseks on vaja leida reegli sid. Seda seetõttu, et sid alusel saab reegli keelata oinkmasteri konfiguratsioonis. Sellisel juhul jääb reegel keelatuks ka pärast reeglikogumiku uuendamist.<br />
<br />
Antud näite puhul ütleme, et asutus on paiganud kõigi Linuxi serverite OpenSSL teegid ning seeläbi kõrvaldanud HeartBleed nimelise nõrkuse. Seega kõik reeglid, mis käsitlevad seda nõrkust võib keelata.<br />
<br />
1. Otsime üles kõik HeartBleedi käsitlevad reeglid.<br />
<br />
cd /etc/suricata/rules<br />
grep -R "HeartBleed"<br />
<br />
<br />
Leiame, et HeartBleedi käsitlevaid reegleid on 6. Kuigi väljastati 12 rida on esimesed 6 rida pärit sid-msg.map failist, kus hoitakse teadete ja reegli id vahelisi seoseid seega need võib välja jätta.<br />
<br />
2. Eraldame välja kõigi 6 reegli sid tunnused.<br />
<br />
grep -R "HeartBleed" | grep -P -o "sid\:\d+" | grep -o -P "\d{2,}+" | tr '\n' ',' >> /etc/oinkmaster.conf<br />
<br />
Üleval nähtava käsuga, filtreerime reegli failidest rekursiivselt välja kõik read kus sisaldub sõna HeartBleed, seejärel eraldame nendest ridadest sid tunnused ja puhastame read üleliigsest. Viimaks asendame tr käsu abil reavahetused komaga ja kirjutame tekkinud rea Oinkmasteri konfiguratsiooni faili lõppu.<br />
<br />
<br />
3. Avame Oinkmasteri konfiguratsiooni ja kerime faili lõppu. Eelmise käsuga sinna kirjutatud sid tunnused on meid ootamas.<br />
<br />
vim /etc/oinkmaster.conf<br />
<br />
4. Kirjutame sid tunnuste ette parameetri "disablesid" ning rea lõppu lisame # ja kommentaari. Lõpptulemusena näeb oinkmasteri konfiguratsiooni faili viimane rida välja selline:<br />
<br />
disablesid 2018377, 2018378, 2018382, 2018383, 2018388, 2018389 # Ei ole enam HeartBleedi haavatavust<br />
<br />
5. Salvestame ja väljume.<br />
<br />
6. Kui käivitame Oinkmasteri uuenduse uuesti, siis näeme millised ja kui mitu reeglit on keelatud.<br />
<br />
oinkmaster -C /etc/oinkmaster.conf -o /etc/suricata/rules</div>Aellikuhttps://wiki.itcollege.ee/index.php?title=IDS_Systeemid_-_Labor_1&diff=76237IDS Systeemid - Labor 12014-05-26T21:29:14Z<p>Aelliku: Created page with "=Labor 1= Labori käigus paigaldame Suricata ning testime selle töötamist. Seame paika reeglite uuendamise Oinkmasteri abil kasutades EmergingThreats reeglikogumikku ning opt…"</p>
<hr />
<div>=Labor 1=<br />
<br />
Labori käigus paigaldame Suricata ning testime selle töötamist.<br />
<br />
Seame paika reeglite uuendamise Oinkmasteri abil kasutades EmergingThreats reeglikogumikku ning optimiseerime kasutatavat reeglikogumikku.<br />
<br />
==Ettevalmistused Suricata paigaldamiseks==<br />
<br />
===Seadistame eth1 võrguliidese valimatusse režiimi===<br />
<br />
1. Avame faili interfaces:<br />
<br />
vim /etc/network/interfaces<br />
<br />
2. Lisame eth1 parameetrid:<br />
<br />
auto eth1<br />
iface eth1 inet manual <br />
up ifconfig $IFACE 0.0.0.0 up<br />
up ip link set $IFACE promisc on<br />
down ip link set $IFACE promisc off <br />
down ifconfig $IFACE down<br />
<br />
3. Salvesta ja välju<br />
<br />
4. Teeme võrgu teenusele taaskäivituse<br />
<br />
service networking restart<br />
<br />
5. Kontrollime võrguliidest.<br />
<br />
ifconfig <br />
<br />
<br />
Käsu väljundis näeme kolmandas reas "UP BROADCAST RUNNING PROMISC":<br />
<br />
eth1 Link encap:Ethernet HWaddr 00:0c:29:32:bf:11<br />
inet6 addr: fe80::20c:29ff:fe32:bf11/64 Scope:Link<br />
UP BROADCAST RUNNING PROMISC MULTICAST MTU:1500 Metric:1 <br />
RX packets:1152 errors:0 dropped:0 overruns:0 frame:0 <br />
TX packets:62 errors:0 dropped:0 overruns:0 carrier:0 <br />
collisions:0 txqueuelen:1000 <br />
RX bytes:94351 (94.3 KB) TX bytes:17248 (17.2 KB)<br />
<br />
<br />
<br />
==Suricata paigaldus==<br />
<br />
1. Suricata kasutamisel Ubuntu distributsiooni peal on kõige lihtsam kasutada repositooriumi. Kõigepealt paigaldame paki nimega "python-software-properties", kuna selle sees asub programm "add-apt-repository", mida kasutame järgmisena.<br />
<br />
apt-get install python-software-properties<br />
<br />
2. Lisame repositooriumi ja piagaldame Suricata<br />
<br />
add-apt-repository ppa:oisf/suricata-stable<br />
apt-get update<br />
apt-get install suricata<br />
<br />
3. Suricata uuendamiseks saame kasutada<br />
<br />
apt-get update<br />
apt-get upgrade<br />
<br />
4. Eemaldamiseks<br />
<br />
apt-get remove suricata<br />
<br />
<br />
==Seadistamine==<br />
<br />
1. Loome logide kausta<br />
<br />
mkdir /var/log/suricata<br />
<br />
2. Avame Suricata konfiguratsiooni faili:<br />
<br />
vim /etc/suricata/suricata.yaml<br />
<br />
Kirjeldame kasutuses olevad operatsiooni süsteemid otsides "suricata.yaml" failist rida "host-os-policy" (VIM-i puhul saab otsimist teostada sisestades "/" ning seejärel otsitava teksti.)<br />
<br />
host-os-policy:<br />
# Make the default policy windows.<br />
windows: []<br />
bsd: []<br />
bsd-right: []<br />
old-linux: []<br />
linux: [192.168.56.200, 192.168.56.201, 192.168.56.101, 127.0.0.1]<br />
old-solaris: []<br />
solaris: []<br />
hpux10: []<br />
hpux11: []<br />
irix: []<br />
macos: []<br />
vista: []<br />
<br />
Kirjeldame ära aadresside grupid. Selleks otsime üles rea "address-groups"<br />
<br />
address-groups:<br />
HOME_NET: "[192.168.56.0/24]"<br />
EXTERNAL_NET: "!$HOME_NET"<br />
<br />
<br />
3. Enda kirjutatud reeglite kasutamiseks loome faili local.rules<br />
<br />
touch /etc/suricata/rules/local.rules<br />
<br />
Lisame local.rules faili ühe reegli<br />
<br />
vim /etc/suricata/rules/local.rules<br />
<br />
alert ip any any -> any any (msg:"ICMP detected"; sid:2; rev:1;)<br />
<br />
4. Lisame Suricata kofiguratsiooni kohalike reeglite faili.<br />
<br />
vim /etc/suricata/suricata.yaml<br />
<br />
Otsime üles rea "rule-files" ja lisame sinna alla esimese reana local.rules faili.<br />
<br />
rule-files:<br />
- local.rules<br />
- botcc.rules<br />
- ciarmy.rules<br />
- compromised.rules<br />
- drop.rules<br />
- dshield.rules<br />
- emerging-activex.rules<br />
- emerging-attack_response.rules<br />
- emerging-chat.rules<br />
- emerging-current_events.rules<br />
- emerging-dns.rules<br />
- emerging-dos.rules<br />
- emerging-exploit.rules<br />
- emerging-ftp.rules<br />
...<br />
<br />
===Oinkmaster üles seadmine reeglikogumike uuendamiseks===<br />
<br />
1. Paigaldame OinkMasteri<br />
<br />
apt-get install oinkmaster<br />
<br />
On olemas mitmed reeglikogumikke. Praegusel juhul kasutame Emerging Threats (ET) reeglikogumikku.<br />
<br />
Oinkmaster peab teada, kust saab reeglikogumikku alla laadida:<br />
http://rules.emergingthreats.net/open/suricata/emerging.rules.tar.gz<br />
<br />
2. Selle lingi lisamiseks avame oinkmaster.conf faili:<br />
<br />
vim /etc/oinkmaster.conf<br />
<br />
3. Leiame üles rea ET reeglite veebilehele (vim puhul saab otsingut teostada sisestades kõigepealt "/" ning seejärel otsingu stringi):<br />
<br />
/Emerging Threats<br />
<br />
4. Lisame hüperlingi:<br />
<br />
url = http://rules.emergingthreats.net/open/suricata/emerging.rules.tar.gz<br />
<br />
<br />
Pärast muudatuse sisse viimist näeb faili sektsiooni välja selline:<br />
<br />
# Example for rules from the Emerging Threats site (previously known as Bleeding Snort).<br />
# url = http://www.emergingthreats.net/rules/emerging.rules.tar.gz<br />
# Old url:<br />
# url = http://www.bleedingsnort.com/downloads/bleeding.rules.tar.gz<br />
url = http://rules.emergingthreats.net/open/suricata/emerging.rules.tar.gz<br />
<br />
5. Salvesta ja välju failist. Vim puhul, väljuda paoklahviga sisestus režiimist ning seejärel ":wq".<br />
<br />
<br />
6. Uuendame reeglikogumiku:<br />
<br />
cd /etc<br />
oinkmaster -C /etc/oinkmaster.conf -o /etc/suricata/rules<br />
<br />
7. Pärast reeglite alla laadimist ja lahti pakkimist on reeglite kaustast leitavad ka kaks faili nimedega classification. config ja reference.config. Mõlemad on vaja lisada Suricata konfiguratsiooni faili:<br />
<br />
vim /etc/suricata/suricata.yaml<br />
<br />
Konfiguratsioonis otsime üles rea"classification-file" ning muudame ära vajalikud parameetrid. Lõpptulemusena saame: <br />
<br />
classification-file: /etc/suricata/rules/classification.config<br />
reference-config-file: /etc/suricata/rules/reference.config<br />
<br />
8. Testimiseks käivitame suricata:<br />
<br />
suricata -c /etc/suricata/suricata.yaml -i eth1<br />
<br />
9. Käivitamisel näeme, et mitmed reegli failid pole saadaval. Nende mitte kasutamiseks saame suricata.yaml faili rule-files sektsioonis lisada konkreetse reegli faili ette #.<br />
<br />
vim /etc/suricata.yaml<br />
<br />
Lisame # kahe faili ette:<br />
<br />
# - emerging-icmp.rules<br />
# - dns-events.rules<br />
<br />
10. Salvestame ja väljume.<br />
<br />
11. Reeglite hilisemaks uuendamiseks käivitame käsu:<br />
<br />
oinkmaster -C /etc/oinkmaster.conf -o /etc/suricata/rules<br />
<br />
<br />
'''Soovituslik on reegleid tihti uuendada. ET reeglikogumikku uuendatakse korra päevas.'''<br />
<br />
<br />
===Automaatne uuendamine oinkmasteri abil===<br />
<br />
Et muuta reeglite uuendamine lihtsaks ja automaatseks, seadistame croni töö oinkmasteri automaatseks käivitamiseks.<br />
<br />
1. Loome reeglite varundamiseks kausta.<br />
<br />
mkdir /etc/suricata/backup<br />
<br />
2. Lisame uue kasutaja oinkmaster<br />
<br />
useradd oinkmaster<br />
<br />
3. Muudame mõningad failiõigused.<br />
<br />
chown -R oinkmaster /etc/suricata/backup<br />
chown -R oinkmaster /etc/suricata/rules<br />
<br />
4. Testime, kas töötab<br />
<br />
su oinkmaster<br />
oinkmaster -C /etc/oinkmaster.conf -o /etc/suricata/rules -b /etc/suricata/backup 2>&1<br />
<br />
5. Kuna me tahame seda iga päev käivitada, siis lisame crontabi alla vastava töö<br />
<br />
crontab -e -u oinkmaster<br />
<br />
30 00 * * * oinkmaster -o /etc/snort/rules -b /etc/snort/backup 2>&1 >> /dev/null 2>&1<br />
<br />
<br />
===Reeglikogumike optimiseerimine===<br />
<br />
Mida rohkem reegleid on kasutuses, seda rohkem ressurssi on vaja pakettide analüüsimiseks.<br />
Seega mõtekas on keelata need reeglid, mis käivad tehnoloogiate või teenuste vastu mida asutuse infrastruktuuris ei esine.<br />
<br />
Kõigepealt keelame mõned üldised grupid. Selleks avame uuesti Suricata konfiguratsiooni faili:<br />
<br />
vim /etc/suricata/suricata.yaml<br />
<br />
Otsime üles rea "rule-files".<br />
<br />
/rule-files<br />
<br />
Reegli grupi keelamiseks on vaja konkreetne reegli faili välja kommenteerida, lisades rea ette #.<br />
<br />
Oletame, et poliitikatega on infrastruktuuris keelatud ActiveX tehnoloogia kasutamine, ei leia kasutust ftp protokoll ning ei ole ka SCADA seadmeid. <br />
<br />
'''Ülesanne'''<br />
Otsida suricata.yaml failist üles sektsioon "rule-files:" ning kommenteerida välja need 3 reeglite faili mis käsitlevad neid teenuseid (Active-X; FTP; SCADA).<br />
<br />
<br />
===Üksiku või mitme reegli keelamine===<br />
<br />
Üksiku reegli või mitme reegli keelamiseks on vaja leida reegli sid. Seda seetõttu, et sid alusel saab reegli keelata oinkmasteri konfiguratsioonis. Sellisel juhul jääb reegel keelatuks ka pärast reeglikogumiku uuendamist.<br />
<br />
Antud näite puhul ütleme, et asutus on paiganud kõigi Linuxi serverite OpenSSL teegid ning seeläbi kõrvaldanud HeartBleed nimelise nõrkuse. Seega kõik reeglid, mis käsitlevad seda nõrkust võib keelata.<br />
<br />
1. Otsime üles kõik HeartBleedi käsitlevad reeglid.<br />
<br />
cd /etc/suricata/rules<br />
grep -R "HeartBleed"<br />
<br />
<br />
Leiame, et HeartBleedi käsitlevaid reegleid on 6. Kuigi väljastati 12 rida on esimesed 6 rida pärit sid-msg.map failist, kus hoitakse teadete ja reegli id vahelisi seoseid seega need võib välja jätta.<br />
<br />
2. Eraldame välja kõigi 6 reegli sid tunnused.<br />
<br />
grep -R "HeartBleed" | grep -P -o "sid\:\d+" | grep -o -P "\d{2,}+" | tr '\n' ',' >> /etc/oinkmaster.conf<br />
<br />
Üleval nähtava käsuga, filtreerime reegli failidest rekursiivselt välja kõik read kus sisaldub sõna HeartBleed, seejärel eraldame nendest ridadest sid tunnused ja puhastame read üleliigsest. Viimaks asendame tr käsu abil reavahetused komaga ja kirjutame tekkinud rea Oinkmasteri konfiguratsiooni faili lõppu.<br />
<br />
<br />
3. Avame Oinkmasteri konfiguratsiooni ja kerime faili lõppu. Eelmise käsuga sinna kirjutatud sid tunnused on meid ootamas.<br />
<br />
vim /etc/oinkmaster.conf<br />
<br />
4. Kirjutame sid tunnuste ette parameetri "disablesid" ning rea lõppu lisame # ja kommentaari. Lõpptulemusena näeb oinkmasteri konfiguratsiooni faili viimane rida välja selline:<br />
<br />
disablesid 2018377, 2018378, 2018382, 2018383, 2018388, 2018389 # Ei ole enam HeartBleedi haavatavust<br />
<br />
5. Salvestame ja väljume.<br />
<br />
6. Kui käivitame Oinkmasteri uuenduse uuesti, siis näeme millised ja kui mitu reeglit on keelatud.<br />
<br />
oinkmaster -C /etc/oinkmaster.conf -o /etc/suricata/rules</div>Aelliku