Bài 3: Xây Dựng Hệ Thống Ids Với Snort Là Gì ? Bài 3: Xây Dựng Hệ Thống Ids Với Snort

Bài 3: Xây dựng hệ thống IDS với Snort

Snort là một ứng dụng IDS mã nguồn mở, hoạt động trên nhiều hệ điều hành trong đó có Linux và Windows. Bài này thực hiện cài đặt và vận hành Snort như một IDS chế độ network-based và host-based. Các bước thực hiện như sau:

Bước 1: Cài đặt Snort. Bước 2: Vận hành Snort chế độ IDS. Bước 3: Tạo luật đơn giản cảnh báo truy nhập từ bên ngoài. Bước 4: Cảnh báo truy nhập từ bên trong đến một nội dung nhạy cảm. Bước 5: Cảnh báo quét cổng (port scan) với preprocessor sfportscan. Bước 1: Cài đặt Snort

Cài đặt các thư viện phần mềm cần thiết:

C2 ~># yum install -y wget gcc flex bison zlib zlib-devel libpcap libpcap-devel libdnet libdnet-devel pcre pcre-devel tcpdump git libtool curl man

Thực hiện các bước download mã nguồn, dịch mã nguồn và cài đặt tiếp theo như hướng dẫn trên trang chủ Snort:

C2 ~># mkdir snort_src C2 ~># cd snort_src C2 ~># tar xvfz ./daq-2.0.6.tar.gz . . . C2 ~># cd daq-2.0.6 C2 daq-2.0.6># ./configure . . . C2 daq-2.0.6># make . . . C2 daq-2.0.6># make install . . . C2 ~># cd ..

Đang xem: Snort là gì

C2 ~># tar xvfz ./snort-2.9.8.3.tar.gz . . . C2 ~># cd snort-2.9.8.3 C2 daq-2.0.6># ./configure . . . C2 daq-2.0.6># make . . . C2 daq-2.0.6># make install . . .

Sau khi cài đặt thành công, Snort có thể hoạt động ở 3 chế độ:

Package sniffer: hiển thị thông tin header các gói tin Package log: ghi lại các thông tin vào file log để xử lý sau này IDS: phân tích các gói tin hoặc các luồng TCP, thực hiện các chức năng IDS theo cơ chế signature-based.

Kiểm tra Snort hoạt động ở chế độ package sniffer với tham số -dev. Trong khi chạy Snort ở chế độ này, thực hiện ping đến Google, ta sẽ thấy Snort bắt được các gói tin ICMP Echo và Reply rồi hiển thị thông tin các gói tin này lên màn hình.

C2 snort-2.9.8.3># mkdir /var/log/snortC2 snort-2.9.8.3># snort -dev -l /var/log/snortRunning in packet logging mode –== Initializing Snort ==–Initializing Output Plugins!Log directory = /var/log/snortpcap DAQ configured to passive.Acquiring network traffic from “eth1”.Decoding Ethernet –== Initialization Complete ==– ,,_ -*> Snort! Trong khi chạy Snort chế độ package log, cũng thực hiện ping đến Google. Kết quả là trong thư mục /var/log/snort xuất hiện file log của Snort ghi lại các gói tin đã bắt được:

C2 snort-2.9.8.3># ls /var/log/snort/ snort.log.1476819559

Lưu ý rằng file log được ghi lại ở dạng nhị phân, theo cấu trúc các gói tin. Có thể dụng lệnh file để kiểm tra cấu trúc của file nhị phân này:

C2 snort-2.9.8.3># file /var/log/snort/snort.log.1476819559 /var/log/snort/snort.log.1476819559: tcpdump capture file (little-endian) – version 2.4 (Ethernet, capture length 1514)

Để đọc file này, cần sử dụng phần mềm tcpdump. Có thể thấy kết quả hiển thị các gói tin ban đầu là dịch vụ ARP để xác định địa chỉ MAC từ địa chỉ IP khi trạm làm việc cần gửi gói tin ra Gateway. Tiếp theo là các gói tin dịch vụ DNS để xác định địa chỉ IP của Google. Cuối cùng là các gói tin ICMP Echo và Reply của lệnh ping:

Bước 2: Vận hành Snort chế độ IDS

Trong chế độ này, Snort thực hiện kiểm soát các gói tin và thực hiện các phản ứng theo các luật được khai báo trước. Các file cấu hình của Snort được đặt trong thư mục /etc/snort. Cần copy tất cả các file cấu hình mặc định trong thư mục cài đặt (snort-2.9.8.3/etc) vào thư mục này:

C2 ~># cd ~/snort_src/snort-2.9.8.3 C2 snort-2.9.8.3># cp ./etc/* /etc/snort C2 snort># ls -l /etc/snort/ total 328 -rw-r–r–. 1 root root 1281 Oct 19 10:53 attribute_table.dtd -rw-r–r–. 1 root root 3757 Oct 19 10:53 classification.config -rw-r–r–. 1 root root 23058 Oct 19 10:53 file_magic.conf -rw-r–r–. 1 root root 31971 Oct 19 10:53 gen-msg.map -rw-r–r–. 1 root root 13257 Oct 19 10:53 Makefile -rw-r–r–. 1 root root 190 Oct 19 10:53 Makefile.am -rw-r–r–. 1 root root 12306 Oct 19 10:53 Makefile.in -rw-r–r–. 1 root root 687 Oct 19 10:53 reference.config -rw-r–r–. 1 root root 26804 Oct 19 10:53 snort.conf -rw-r–r–. 1 root root 2335 Oct 19 10:53 threshold.conf -rw-r–r–. 1 root root 160606 Oct 19 10:53 unicode.map

READ:  " Đại Học Sư Phạm Tiếng Anh Là Gì, Tên Các Trường Đại Học Bằng

File cấu hình để vận hành Snort chế độ IDS là /etc/snort/snort.conf. Cần sửa đổi một số thông số như sau:

HOME_NET: đây là mạng hoặc máy trạm mà Snort sẽ bảo vệ (tùy theo chế độ hoạt động là network-based hay host-based). Trong bước này, ta sử dụng Snort để bảo vệ một máy chủ Web thuộc vùng DMZ (xem hình vẽ trong bài thực hành số 1) có địa chỉ IP là 192.168.2.10. EXTERNAL_NET: là vùng bên ngoài, không cần được giám sát. Nó sẽ là tất cả các mạng & các máy trạm mà không thuộc HOME_NET. RULE_PATH: thư mục chứa các luật xử lý gói tin. Thiết lập giá trị để thư mục này là /etc/snort/rules. Tạm thời ta chưa sử dụng các chức năng nhúng modul động (dynamic) trong Snort nên comment tham sô dynamicdetection. Tạm thời ta sẽ tự thiết lập các rule cho Snort mà không dùng các rule có sẵn. Vì vậy khai báo include file chứa rule (/etc/snort/rules/myrules.rules) và comment tất cả các lênh include các rule có sẵn. Khai báo thư mục chứa các danh sách white (các trạm an toàn) và black (các trạm nghi vấn) cũng là thư mục RULE_PATH.

Sau khi thiết lập các thông số, file cấu hình snort.conf có dạng sau:

C2 ~># cat /etc/snort/snort.conf . . . # Setup the network addresses you are protecting ipvar HOME_NET 192.168.2.10

# Set up the external network addresses. Leave as “any” in most situations ipvar EXTERNAL_NET !$HOME_NET . . . # Path to your rules files (this can be a relative path) # Note for Windows l2r.vn: You are advised to make this an absolute path, # such as: c:snort
ules var RULE_PATH ./rules . . . # path to dynamic rules libraries # dynamicdetection directory /usr/local/lib/snort_dynamicrules . . . # my rules include $RULE_PATH/myrules.rules

# site specific rules # include $RULE_PATH/local.rules # include $RULE_PATH/app-detect.rules . . . var WHITE_LIST_PATH ./rules var BLACK_LIST_PATH ./rules

Khi khởi động Snort, mặc định nó cần đọc các file white_list.rulesblack_list.rules để xử lý các trạm thuộc danh sách white và black. Tạm thời ta chưa xử lý gì đặc biệt đối với các trạm white và black nên tạo 2 file rỗng tương ứng. Tương tự, file myrules.rules cũng chưa được định nghĩa luật nào:

C2 rules># touch /etc/snort/rules/black_list.rules C2 rules># touch /etc/snort/rules/white_list.rules C2 rules># touch /etc/snort/rules/myrules.rules C2 rules># ls -l /etc/snort/rules/ total 4 -rw-r–r–. 1 root root 0 Oct 19 10:25 black_list.rules -rw-r–r–. 1 root root 0 Oct 19 10:24 white_list.rules -rw-r–r–. 1 root root 0 Oct 19 10:26 myrules.rules

Sau khi chuẩn bị các file cấu hình làm việc, chạy Snort chế độ IDS với yêu cầu bắt gói tin trên kết nối mạng eth2. Nếu thành công, Snort bắt đầu thực hiện bắt gói tin bằng dòng thông báo “Commencing packet processing (pid=23464)”:

C2 ~># snort -i eth2 -l /var/log/snort -c /etc/snort/snort.conf Running in IDS mode

–== Initializing Snort ==– . . . Acquiring network traffic from “eth2”. Reload thread starting… Reload thread started, thread 0x7f3ee96d0700 (23465) Decoding Ethernet

–== Initialization Complete ==–

Rules Engine: SF_SNORT_DETECTION_ENGINE Version 2.6 Preprocessor Object: SF_SIP Version 1.1 Preprocessor Object: SF_POP Version 1.0 Preprocessor Object: SF_SDF Version 1.1 Preprocessor Object: SF_FTPTELNET Version 1.2 Preprocessor Object: SF_IMAP Version 1.0 Preprocessor Object: SF_REPUTATION Version 1.1 Preprocessor Object: SF_SSH Version 1.1 Preprocessor Object: SF_DNP3 Version 1.1 Preprocessor Object: SF_DCERPC2 Version 1.0 Preprocessor Object: SF_SMTP Version 1.1 Preprocessor Object: SF_GTP Version 1.1 Preprocessor Object: SF_DNS Version 1.1 Preprocessor Object: SF_SSLPP Version 1.1 Preprocessor Object: SF_MODBUS Version 1.1 Commencing packet processing (pid=23464)

Bước 3: Luật đơn giản cảnh báo truy nhập từ bên ngoài

Snort đã vận hành ở chế độ IDS thành công. Bước tiếp theo là khai báo các luật xử lý cho Snort. Ta bắt đầu với luật đơn giản nhất – phát hiện các truy cập từ bên ngoài với ssh hoặc ping. a) Phát hiện truy cập ssh Giả sử cần cảnh báo khi xuất hiện truy nhập ssh từ một máy ở xa vào HOME_NET. Luật được thiết lập trong file myrules.rules như sau:

C2 rules># cat /etc/snort/rules/myrules.rules alert tcp $EXTERNAL_NET any -> $HOME_NET 22 (msg:”incoming SSH connection!”; flags:S; sid:10000;)

READ:  Nghị Định Tiếng Anh Là Gì? Thông Tư Tiếng Anh Là Gì ? Thông Tư Tiếng Anh Là Gì?

Cú pháp của luật này như sau:

alert: thực hiện cảnh báo khi xuất hiện hoạt động khớp với khai báo của luật. tcp: luật được thiết lập dựa trên thông số của gói tin TCP. Có thể thay thông số này bằng các loại gói tin khác như UDP, IP, ICMP, v.v.. $EXTERNAL_NET any -> $HOME_NET 22: điều kiện kiểm tra là gói tin đến từ bất cứ trạm nào trong EXTERNAL_NET và từ bất cứ cổng nào, gửi đến HOME_NET cổng 22 (là cổng mà dịch vụ SSH đang hoạt động). msg:”incoming SSH connection!”: hiển thị thông báo cảnh báo. flags:S: điều kiện hạn chế lọc gói tin. Khi thực hiện một kết nối TCP đến cổng 22, có rất nhiều gói tin được gửi đến. Điều kiện lọc dựa trên nguồn và đích (địa chỉ & cổng) sẽ tạo ra nhiều cảnh báo cho cùng một hành động ssh. Thủ thuật ở đây là dựa vào thông điệp SYN. Ta biết rằng các kết nối TCP luôn phải bắt đầu bằng quá trình bắt tay 3 bước với các thông điệp SYN, ACK SYN, ACK. Vậy nên nếu lọc bổ sung thêm các thông điệp này (flags:S tương ứng với thông điệp SYN) sẽ chỉ tạo ra 1 cảnh bảo cho 1 hành động SSH. sid:10000: mã số để khớp giữa cảnh báo với luật. Ví dụ khi cần liệt kê các cảnh báo theo từng luật thì có thể căn cứ vào sid của luật để lọc các cảnh báo.

Trong khi Snort đang vận hành ở chế độ IDS, từ một trạm nào đó thực hiện kết nối ssh vào máy chủ 192.168.2.10, một thông điệp cảnh báo sẽ được gửi đến file log:

C2 rules># tail -f /var/log/snort/alert

b) Phát hiện kết nối ping Có thể bổ sung luật mới để phát hiện ai đó đang ping vào hệ thống:

C2 rules># cat /etc/snort/rules/myrules.rules alert tcp $EXTERNAL_NET any -> $HOME_NET 22 (msg:”incoming SSH connection!”; flags:S; sid:10000;) alert icmp $EXTERNAL_NET any -> $HOME_NET any (msg:”soomeone ping me!”; sid:10001;)

Khởi động lại Snort và dùng một trạm khác ping đến địa chỉ 192.168.2.10. Kết quả cảnh báo như sau:

C2 rules># tail -f /var/log/snort/alert
Bước 4: Cảnh báo truy nhập từ bên trong đến một nội dung nhạy cảm

Cần kiểm soát các trạm thuộc HOME_NET và phát hiện trạm nào truy nhập đến một nội dung nhạy cảm không được phép. Lấy ví dụ giả định nội dung nhạy cảm là “terrorism” (khủng bố). Có thể thiết lập luật kiểm tra các truy nhập từ bên trong đến nội dung này và cảnh báo như sau:

alert tcp $HOME_NET any -> $EXTERNAL_NET 80 (msg:”terrorism contact!”; content:”terrorism”; nocase; sid:10003;)

Khởi động lại Snort chế độ IDS và kiểm tra file cảnh báo /var/log/snort/alert.

Xem thêm: Giờ Hành Chính Là Gì ? Các Khung Giờ Hành Chính Tại Việt Nam

Tiếp theo, dung web browser tìm kiếm một trang web nào đó có tên chứa từ khóa terrorism, giả sử là http://www.merriam-webster.com/dictionary/terrorism. Click vào link để truy nhập đến trang web này. Cảnh báo sẽ được phát ra:

 Trường hợp luật cảnh báo không phát hiện được khi truy nhập đến trang web, một trong những lý do là Snort không bắt được gói tin gửi đi trong khi tực tế trang web vẫn được truy nhập và hiển thị trong browser. Nguyên nhân phổ biến là vấn đề offload checksum. Trước khi gửi gói tin, bên truyền cần tính toán checksum và đưa vào trường checksum của gói tin. Nếu card mạng có chức năng tính toán checksum, phần mềm ứng dụng sẽ không tính checksum nữa mà chuyển gói tin có trường checksum bằng 0 xuống cho card mạng xử lý. Thư viện libpcap (thư viện phần mềm bắt gói tin trên Linux) hoạt động ở giữa phần ứng dụng và card mạng do vậy khi tiếp nhận gói tin sẽ thấy checksum không hợp lệ và không xử lý gói tin này. Dẫn đến luật alert không được thực thi. Có thể chạy Snort với thám số -k none để thông báo Snort không kiểm tra trường checksum:

C2 ~># snort -d -c /etc/snort/snort.conf -i eth1 -k none . . .
Bước 5: Cảnh báo quét cổng (port scan) với preprocessor sfportscan
C1 ~># yum install nmap . . . Package 2:nmap-5.51-4.el6.x86_64 already installed and latest version Nothing to do

C1 ~># nmap -v -A 192.168.2.10

Uptime guess: 0.171 days (since Fri Oct 21 00:51:40 2016) Network Distance: 1 hop TCP Sequence Prediction: Difficulty=257 (Good luck!) IP ID Sequence Generation: All zeros Service Info: OS: Unix

TRACEROUTE HOP RTT ADDRESS 1 0.47 ms 192.168.2.10

Read data files from: /usr/share/nmap OS and Service detection performed. Please report any incorrect results at http://nmap.org/submit/ . Nmap done: 1 IP address (1 host up) scanned in 19.26 seconds Raw packets sent: 1111 (52.918KB) | Rcvd: 1079 (46.702KB)

Trên Windows, phiên bản đồ họa của nmap có tên zenmap cho phép quét cổng của máy nạn nhân và hiển thị tất cả các thông số liên quan đến các dịch vụ đang chạy trên máy nạn nhân.

Xem thêm: Brand Manifesto Là Gì – Nghĩa Của Từ Manifesto

*

Nguyên lý hoạt động của các công cụ quét cổng là lần lượt gửi gói tin đặc biệt (chẳng hạn TCP SYN) đến tất cả các cổng của máy nạn nhân và đợi gói tin trả về. Một dịch vụ đang hoạt động tại cổng tương ứng không phân biệt được đây là một kết nối từ trạm sử dụng thông thường hay là một hành động trong cuộc tấn công quét cổng, do vậy sẽ trả lời bằng một gói tin phù hợp (ví dụ, với TCP SYN sẽ là SYN ACK). Dựa vào kết quả trả về này, công cụ quét cổng xác định được dịch vụ đang “nghe” trên máy nạn nhân và tiếp tục gửi các gói tin phù hợp khác để do thám thêm thông tin về dịch vụ tương ứng. Để phát hiện và cảnh báo một cuộc tấn công quét cổng như vậy, các luật đơn giản kiểm tra thông tin của từng gói tin riêng rẽ sẽ không xử lý được. Snort cung cấp cơ chế preprocessor và các luật prepresessor để phát hiện các dạng tấn công “tổ hợp” như vậy. Một cách khái quát, preprocessor là cách thức Snort chấp nhận thêm các modul (plugin) tiền xử lý gói tin. Các modul này được người dùng cài đặt thêm (bằng cách sử dụng thư viện hàm Snort API) và gắn vào Snort để nhận được các gói tin và xử lý chúng trước khi gói tin được chuyển cho máy xử lý trung tâm của Snort. Tùy vào từng mục đích riêng mà mỗi modul có thể kiểm tra các thông tin trong gói tin, thay đổi các thông tin này, rồi chuyển cho Snort xử lý. Một ví dụ là modul xử lý các gói tin tấn công dịch vụ web. Giả sử vùng chứa các script web admin (cần được bảo về) được đặt tại URL http://example.com/admin và Snort được thiết lập cảnh báo hoặc cấm truy nhập từ bên ngoài đến URL này. Tuy nhiên, một số biến thể của URL sẽ cho kết quả tương tự, ví dụ như http://example.com/./admin. Modul chuẩn hóa các gói tin HTTP cài đặt dạng preprocessor sẽ kiểm tra và chuyển tất cả các biến thể URL này trở thành URL đúng và chuyển cho Snort xử lý. Sơ đồ bên dưới mô tả vai trò và vị trí của các preprocessor trong kiến trúc Snort.

*

Hình vẽ 5‑9 : Sơ đồ các preprocessor trong kiến trúc Snort

Với tấn công quét cổng, preprocessor sfportscan đã được phát triển để xử lý. Nó thu thập nhiều gói tin và phân tích sự liên quan giữa các gói tin này để quyết định chúng có phải là chuối các gói tin quét cổng hay không. Để kích hoạt preprocessor này, cần thiết lập tham số cấu hình sfportscan và include tập luật preprocessor.rules trong /etc/snort/snort.conf:

C2 tmp># cat /etc/snort/snort.conf | grep sfportscan # Portscan detection. For more information, see README.sfportscan preprocessor sfportscan: proto { all } scan_type { all } sense_level { low }

C2 tmp># cat /etc/snort/snort.conf | grep preprocessor.rules include $PREPROC_RULE_PATH/preprocessor.rules

Khởi động lại Snort và thực hiện quét cổng từ một máy khác bằng nmap như mô tả bên trên. Cuộc tấn công quét cổng sẽ được Snort phát hiển và cảnh báo:

Xem thêm bài viết thuộc chuyên mục: tin tổng hợp