Bezpečnosť v Internete

Transkript

1 Slovenská technická univerzita v Bratislave Fakulta informatiky a informačných technológií Sieťové nástroje IDS a IPS Bezpečnosť v Internete Bc. Matúš Kováčik 2006 / 2007 (c) 2006, Mat úš Kováčik 1

2 Obsah Obsah Úvod IDS a IPS systémy IDS IPS Host-based IPS Implementácia IDS/IPS Prehľad produktov a firiem Prelude/SNORT Symantec network security IBM Proventia Network Intrusion Prevention System (IPS) Záver Časový plán Použitá literatúra...9 (c) 2006, Mat úš Kováčik 2

3 1. Úvod Systémy pre odhaľovanie útokov a detekcia zraniteľností patria spolu s hraničnou sústavou firewall k neoddeliteľným prvkom zabezpečenia každého IS. Firewall predstavuje prvú obrannú líniu. Jeho úlohou je podľa definovaných pravidiel riadiť prevádzku. Firewall teda riadi prístup, overuje užívateľa, často funguje aj ako VPN gateway a poskytuje i ochranu pred útokom typu odoprenia služby (DoS? DenialofService) a niektorých aplikačných útokov. Stateful inspection firewall pracuje na 3. a 4. vrstve. Firewall typu application level gateway pracuje na 7. vrstve, ale s obmedzením len pre niekoľko málo aplikácií[4]. Rad útokov sa odohráva na aplikačnej vrstve a používa techniky, ktoré firewall nedokáže odhaliť. To je úlohou IDS (Intrusion Detection System) a IPS (Intrusion Prevention System), ktoré predstavuje druhú obrannú líniu. 2. IDS a IPS systémy Sieťové IDS/IPS sú spravidla dedikované zariadenia, ktoré sledujú sieťovú prevádzku a hľadajú v nej známky pokusov o prienik, šírenia sa nebezpečného softvéru (vírusov, trójskych koní, a pod) a neštandardného správania sa používateľov. Môžu buď sledovať prevádzku a porovnávať ju so vzorkami známych útokov (signatúrami - signature based IDS/IPS), alebo sa pri implementácii zariadenia určí, čo je to normálna prevádzka a zariadenie zisťuje odchýlky od nej (behaviour based IDS/IPS) [3]. IDS/IPS platformy sa líšia aj spôsobom prevedenia. Konkrétne zariadenie môže byť: softvérové (softvér bežiaci na OS a využívajúci CPU zariadenia, napríklad SNORT) (c) 2006, Mat úš Kováčik 3

4 hardvérovo akcelerovaný IDS/IPS systém (založený na akcelerácii pomocou čipov ASIC/FCPGA..., rôzne komerčné uzavreté riešenia) IDS Sieťové IDS (Intrusion Detection Systems, NIDS) zabezpečujú detekciu neštandardnej činnosti, prípadne jej následné blokovanie rekonfiguráciou zariadení, alebo využitím možnosti TCP/IP na zrušenie spojenia (TCP reset). IDS fungujú v promiskuitnom režime, kde sú do produkčnej siete pripojené tzv. snifovacími portami, na ktoré dostávajú kópie prevádzky v rôznych častiach siete (napríklad pomocou zrkadlenia portov na prepínačoch a podobne). V prípade, že takéto IDS zaregistruje nebezpečný útok v kópii prevádzky, môže aktívne zasiahnuť do sieťovej prevádzky alebo konfigurácie siete, prípadne iba útok reportuje definovaným spôsobom do rôznych systémov na monitorovanie bezpečnosti (tzv. alarm). Je mu umožnené zmeniť konfigurácie ACL na smerovačoch alebo firewalloch tak, aby sa zamedzilo nekalej činnosti. Pridáva jednotlivé ACL statementy do príslušného ACL, pričom sú jasne definované statické ACL statementy pred aj za týmito dynamickými. Nevýhodou takéhoto riešenia je, že napriek všetkým vymoženostiam prvý paket útoku vždy prejde. ACL sa zmenia až PO zistení útoku IPS Sieťové IPS (Intrusion Prevention Systems, NIPS) zabezpečujú prevenciu proti nežiadúcej sieťovej aktivite v inline režime. V tomto prípade je zariadenie zapojené priamo v ceste prevádzky (inline). Je teda možné pri zistení útoku zadržať celý útok vrátane prvého paketu, a to priamo pomocou IPS. Nie je potrebné meniť konfiguráciu siete ani jej iných zariadení. Aby sme si to zhrnuli: rozdiel medzi IDS a IPS je v princípe zapojenia zariadenia. IPS je inline a teda vie úplne zastaviť útok, ktorý detekuje, IDS nie je inline zariadenie a má možnosť ovplyvniť prevádzku až po zdetekovaní útoku (minimálne prvý paket prejde)[3]. (c) 2006, Mat úš Kováčik 4

5 Host-based IPS Host-based IPS (HIPS) sú na rozdiel od sieťových inštalované na koncových bodoch siete (pracovných staniciach alebo serveroch), kde sledujú správanie sa aplikácií a používateľa. Objektom ich záujmu je spúšťanie programov, aktivita súborového systému, zápisy či čítanie registrov aj sieťové operácie a podobne. Sú väčšinou softvérové Implementácia IDS/IPS Implementácia IDS/IPS je veľmi náročný proces, ktorý sa okrem dizajnu a samotnej inštalácie skladá aj zo zdĺhavého ladenia IDS/IPS, dlhodobého sledovania výstupov a identifikácie korektnej prevádzky, ktorá vyvolala alarm, falošný poplach (false positives - FP) a nekalej činnosti, ktorá nebola zaregistrovaná, nebol vygenerovaný alarm (false negatives - FN). Pri behaviour based zariadeniach je potrebné detailne identifikovať normálnu prevádzku aby bolo možné následne detekovať nenormálne činnosti [3]. Pri signature based zariadeniach je zas potrebné identifikovať rôzne neškodné deje v sieti, pri ktorých je detekovaná konkrétna signatúra a je potrebné ju doladiť (či už priamo, zmenou parametrov signatúry, alebo pomocou filtrov, ktoré odfiltrujú danej signatúre prevádzku spôsobujúcu FP). Toto je dlhodobý proces, ktorý v podstate nikdy nekončí. Podobne ako pri antivírusových systémoch totiž výrobcovia zabezpečujú pravidelnú aktualizáciu signatúrových databáz (Cisco napríklad vydáva signatúrové updaty približne raz týždenne). S inštaláciou nového updatu sa samozrejme menia aktuálne signatúry a pridávajú sa nové, ktoré je potrebné doladiť na obraz vlastnej siete. Toto ladenie je obzvlášť dôležité pri použití IPS, pretože tieto zariadenia aktívne blokujú útoky. V prípade výskytu FP môže zle vyladené IPS spôsobiť DOS smerom na vlastnú sieť alebo jednotlivé zdroje v nej [3]. (c) 2006, Mat úš Kováčik 5

6 3. Prehľad produktov a firiem Prelude/SNORT Obrázok 2: Logo SNORT IDS Obrázok 1: Logo Prelude IDS Medzi navyspelejšie OpenSource riešenia patria aj SNORT a Prelude. Systém Prelude v sebe zahŕňa modul, ktorý detekuje aj signatúry pre systém SNORT. Navyše sa jedná o hybridný a distribuovaný systém detekcie prienikov, ktorý je pomerne jednoducho rozšíriteľný s dobre definovaným API pre prídavné senzory. V súčastnosti obsahuje viacero modulov, ktoré významne rozširujú jeho funkcionalitu za hranice jednoduchého sieťoveho IDS [6]. (c) 2006, Mat úš Kováčik 6

7 Symantec network security Obrázok 3: Symantec Network Security 7100 Series Zariadenie Symantec Network Security 7100 Series zaisťuje proaktívnu prevenciu narušenia siete v reálnom čase, a tým chráni kritické podnikové aktíva. Novátorský Intrusion Mitigation Unified Network Engine (IMUNE) v sebe spája techniky detekcie anomálií v protokoloch, detekcie signatúr, štatistické techniky a techniky zachytávania útokov na slabé miesta, takže presne identifikuje známe a neznáme útoky a červy a znemožňuje ich šírenie po sieťach IBM Proventia Network Intrusion Prevention System (IPS) Obrázok 4: Proventia Network Intrusion Prevention System Appliance Proventia Network IPS spoločnosti ISS chráni ako pred zraniteľnosťami, tak i pred konkrétnym zneužitím efektívnym zablokovaním známych i neznámych útokov ešte skôr, než môžu začať škodiť. Organizáciám umožňuje brániť sa pred nákladnými dôsledkami prelomenia bezpečnosti, zlepšiť dostupnosť siete a spĺňať všetky zákonné požiadavky. S pomocou patentovanej technológie Virtual Patch chráni ISS organizácie pred online útokmi ešte skôr, než získajú a aplikujú záplaty od dodávateľov potenciálne napadnuteľných aplikácií, v mnohých prípadoch zaistí ochranu pred (c) 2006, Mat úš Kováčik 7

8 chybami v softwari mesiac predtým, než je pôvodný výrobca schopný uvoľniť a dodať príslušné softwarové záplaty [5]. 4. Záver Dokument pojednáva o systémoch na detekciu, prípadne prevenciu bezpečnostných útokov na úrovni počítačovej siete. Na začiatku sa venuje ich všeobecnému popisu ako aj základnému rozdeleniu. Ďalej pojednáva o najvúčších problémoch pri ich implementácii. Nasledujú krátke popisy vybraných súčasných IDS/IPS systémov. V závere je uvedený časový plán práce na zadaní z tohto predmetu. Vo finálnej fáze by mal dokument obsahovať základný prehľad techník detekcie a prevencia narušenia na úrovni počítačovej siete, ako aj prehľad súčasných produktov v tejto oblasti Časový plán Časový plán opisujúci úlohy, ktoré by mali byť dosiahnuté a odprezentované počas dvoch progress reportov v rámci predmetu Bezpečnosť v Internete. 1. Progress report Vyhľadať informácie o známych detekčných algoritmoch a všeobecných princípoch činnosti súčaných systémoch sieťových IDS a IPS. 2. Progress report Upresniť informácie o existujúcich voľne šíriteľných, otvorených ako aj komerčných produktoch v oblasti sieťových IDS/IPS. (c) 2006, Mat úš Kováčik 8

9 5. Použitá literatúra [1] Matúš Kováčik, 2006, Centrálne monitorovanie prvkov počítačovej siete [2] Wikipedia, The free Encyclopedia, [3] Ján Vaľo, LYNX s.r.o., Január 2007, NetAcad Newsletter, Seriál: Sieťová bezpečnosť, Systémy na detekciu a prevenciu proti prienikom [4] nextiraone, Bezpečnosť informačných technológií, [5] it.portal :: itnews.sk, [6] Michal Perďoch, MPS 2002/03, Prelude Intrusion Detection System (c) 2006, Mat úš Kováčik 9