IDS под микроскопом

Докучаев Дмитрий aka Forb

Хакер, номер #073, стр. 073-048-2

1. Установка

Устанавливается Snort в два этапа. Первое действие, которое нужно сделать, – поставить две библиотеки: libpcap (атрибут известного tcpdump) и libpcre (обработчик регулярных выражений). Затем инсталлируется непосредственно Snort (www.snort.org/dl/snort-2.3.0RC1.tar.gz):

$> tar xzvf snort-2.3.0RC1.tar.gz

$> cd snort-2.3.0RC1

$> ./configure

$> make

#> make install

После трех заветных команд копируй все файлы из каталога snort-2.3.0RC1/etc в /etc/snort и приступай к редактированию /etc/snort/snort.conf.

В конфиге тебя интересует всего несколько опций. Во-первых, укажи ip-адрес сети, которую будет обслуживать IDS. Это делается путем правки строки «var HOME_NET». Если ты записал в качестве сети ранжир ip-адресов, то будь любезен оговорить назначение серверов в директивах DNS_SERVERS, SQL_SERVERS, SMTP_SERVERS и т.п. К каждому из этих сервисов привязывается свой список правил, согласно которым будет обнаруживаться та или иная атака.

Теперь переходи к третьей части конфигурационного файла и указывай способ записи собранной информации. Здесь возможно использование как баз данных, так и классического syslogd. Прочитай комментарии и используй указанные примеры - думаю, с этим у тебя проблем не возникнет.

Наконец, самая последняя часть конфига описывает подключаемые плагины. Я советую применить абсолютно все файлы с правилами, а если будут замечены ложные записи в журналах, закомментируй один из рулесов. Именно так я делал при испытании и обкатке Snort’а. Да, и не забудь определить переменную PATH_RULES (ее назначение додумай сам :)).

2. Возможности

Как я уже сказал, возможности Snort впечатляют. Он может обнаружить передачу шеллкода по любому порту, stealth-сканирование, эксплуатирование различных сервисов, всевозможные признаки DoS-атак и даже неудачные попытки аутентификации на различных сервисах. Однако весомый недостаток Snort – пассивность этой системы. То есть максимум, что может IDS, – записать событие в лог-файл. Если ставишь Snort, то будь готов к ежедневному просмотру логов.

3. Обход IDS

Чтобы обойти Snort, особого ума не надо. Во-первых, если хакер использует прокси-сервер, то логирование адреса не даст исчерпывающей информации. Во-вторых, хакер, внедрившийся в систему, сможет аккуратно подтереть логи, и админ даже не догадается о присутствии злоумышленника. И наконец, Snort успел отметиться в списке бажных приложений. Для ранних версий IDS есть свои эксплойты, приводящие к удаленному взлому системы.

4. Советы администратору

Исходя из вышеперечисленных недостатков, можно посоветовать сисадмину вести более умное логирование попыток взлома. То есть писать логи на стороннюю машину, где установлен сетевой syslogd или какая-нибудь СУБД. Это, конечно, не остановит хакера, но так ты хоть будешь знать, с какого адреса поломали твой сервер :).

Старый и надежный PortSentry

Только что мы познакомились с представителем пассивно-сетевых IDS. Пришло время перейти к активной стороне. Как ты знаешь, в мире существует незабываемая программа PortSentry из комплекта SentryTools. Ее задача – отлавливать и блокировать сканирование портов. Я подчеркиваю, что эта система не только журналирует попытку сканирования, но и блокирует ее, то есть является активной IDS. Рассмотрим прелести этой системы обнаружения атак подробнее.