Tìm hiểu Báo cáo IDS Snort Snort Sam

TÌM HIỂU VÀ XÂY DỰNG HỆ THỐNG PHÒNG CHỐNG VÀ PHÁT HIỆN XÂM NHẬP SỬ DỤNG SNORT/SNORTSAM  SV: Nguyễn Văn Quang GVHD: Th.S Nguyễn Đăng Quang Trường ĐH Sư Phạm Kỹ Thuật Tp.. Anomaly Ba

TÌM HIỂU VÀ XÂY DỰNG HỆ THỐNG PHÒNG CHỐNG VÀ PHÁT HIỆN XÂM NHẬP SỬ DỤNG

SNORT/SNORTSAM



SV: Nguyễn Văn Quang GVHD: Th.S Nguyễn Đăng Quang

Trường ĐH Sư Phạm Kỹ Thuật Tp Hồ Chí Minh

Khoa Đào tạo Chất lượng cao

Giới thiệu về IDS

4

Giới thiệu về IDS

“Xâm nhập” là hành động truy cập

trái phép bằng cách vượt qua cơ

chế bảo mật của hệ thống

5

Giới thiệu về IDS

được phép hoặc tìm cách vượt qua

quyền đã có để truy xuất các tài

nguyên không được phép

6

Giới thiệu về IDS

7

IDS

Giám sát/theo dõi

Xác định Báo cáo

8

Giới thiệu về IDS

9

Giới thiệu về IDS

Phân loại IDS

Network-based IDS

11

Host-based IDS

12

Kỹ thuật phát hiện xâm nhập

13 Phát hiện dựa trên sự bất thường

Phát hiện dựa trên dấu hiệu

Anomaly Based ID

14

Là kỹ thuật phát hiện ra các mẫu hành vì khác xa với các hành vi thông thường, sau đó gắn cờ xâm nhập đối với hành vi này

Anomaly Based ID

15

Là kỹ thuật phát hiện ra các mẫu hành vì khác xa với các hành vi thông thường, sau đó gắn cờ xâm nhập đối với hành vi này

Anomaly Based ID

16

Ưu điểm:

Phát hiện được các cuộc tấn công chưa được biết đến

Cung cấp các thông tin để xây dựng các dấu hiệu

Anomaly Based ID

17

Nhược điểm:

 Có thể tạo ra số lượng lớn các cảnh báo sai

 Cần phải được đào tạo thường xuyên

Ưu điểm:

Phát hiện được các cuộc tấn công chưa được biết đến

Cung cấp các thông tin để xây dựng các dấu hiệu

Misuse/Signature Base ID

18

Là kỹ thuật so sánh dấu hiệu của các đối tượng đang quan sát với dấu hiệu của các hình thức xâm nhập đã biết trước

Snort/SnortSam

20

Kiến trúc của Snort

Giải mã cấu trúc của gói tin

Detection Engine

24

Detection Engine sẽ kiểm tra các gói tin từ Preprocessors thông qua các luật (rule), nếu không phù hợp gói tin sẽ bị

bỏ đi, nếu phù hợp sẽ được xử lý tiếp

Detection Engine Rule Phù hợp

Các cảnh báo và log có thể được gửi thông qua SMB

pop-up, UNIX socket, SNMP hoặc lưu trữ xuống MySQL, PostgerSQL

Output

26

Ngoài ra còn có rất nhiều các add-on khác cung cấp việc nhận và phân tích các dữ liệu một cách trực quan thông qua web interface

× BASE

× Snorby

× SGUIL

Output

27

SnortSam

28

Là một plugin giúp chủ động ngăn chặn các cuộc tấn công

Hỗ trợ nhiều loại firewall khác nhau:

× iptables

× pfsense

× Microsoft ISA Server

× Cisco, Juniper firewall

SnortSam

29

Snort Output Plugin (alert_fwsam): Module này sẽ được

kích hoạt sau khi một luật trong Snort được kích hoạt Làm nhiệm vụ giao tiếp và gửi thông tin đến Agent

Blocking Agent: Giao tiếp trực tiếp với firewall, nhận một thông điệp từ phần alert_fwsam và yêu cầu firewall chặn các địa chỉ theo yêu cầu

Rule Options

33

Là trung tâm của việc phát hiện, chứa các dấu

hiệu để phát hiện xâm nhập

priority

nocase

content within

Non-payload Post-detection

Ví dụ

36

alert tcp $EXTERNAL_NET any -> $HTTP_SERVERS

Flash attack ABC"; flow:to_server; content:

"|50 4F 53 54|"; content:"|78 2D 66 6C 61 73 68|"; offset:30; depth:80;

classtype:attempted-NullDataPOST;

resp:rst_all; resp:rst_all; resp:rst_all;

react:block;)

Thực tế

37

Mô hình xử lý

39

Kết quả đạt được

40

Hiểu về các phương pháp phát hiện xâm nhập

Hiểu về cấu trúc và cách xử lý các gói tin trên mạng của

Snort/SnortSam

Cấu trúc luật, cách thức viết các luật đối với từng trường hợp cụ thể Phân tích được một số dạng tấn công và luật kèm theo

Cài đặt, triển khai, demo trên mô hình ảo

Hướng phát triển

42

Kết hợp với các giải pháp nguồn mở khác như iptables, mod_security, Nagios hay ZenOSS…Xây dựng một hệ thống bảo mật bằng các phần mềm nguồn mở

Xây dựng riêng một máy trạm phục vụ cho việc phân tích log của toàn hệ thống và của Snort thông qua 2 công cụ thương mại là Splunk hoặc Aanval SAS™

Hướng phát triển

43

Hướng phát triển

44