57 - Systémy IDS a IPS, signatury.
středa 31. května 2017
6:35
Musím řešit výkonnost zařízení
Standardně to nikdy nedosahuje takové propustnosti, která by byla bez IDS a IPS
Problematický je šifrovaný provoz
Dělá se to proto, protože koncová zařízení nejsou schopna vykrýt útok (špatně nastavený OS a podobně). Kdyby byla koncová zeřízení OK, tak by skoro IDS a IPS nebylo třeba. Možná na DDoS útoky.
IDS
Systém v síti, který se snaží detekovat útoky proti síťovým zdrojům
Pasivní obranný mechanismus
Pokud nebude systém správně fungovat, tak maximálně přijdu o informace o nějakých útocích
Host based IDS
Detekce je nasazena na koncovém zařízení
Kontrola konfigurace systému
Přístup k systémovým souborům
Kontrola aktualizací, kritických oprav
Analýza bezpečnosti hesel
Monitorování činnosti na počítači, sledování procesů
Vyžaduje software, který reportuje do centrálního systému
Může mít funkcionalitu zabraňující úniku firemních dat (Data Leak Protection)
Manageři chcou mít schopnost sledovat co uživatelé dělá
Network based IDS
Používá síťový provoz pro detekci útoků, šíření malware … 
Vstupní data mohou být získána pomocí senzorů 
Zaslání informace o útocích centrální stanici §Specializované zařízení, např. IDS/IPS sonda
Specializovaný software jako součást hraničních prvků, virtual appliance pro Cloud datacentra
Pomocí mirror portu zkoumá síťová data 
IPS
Musí přes něj téct síťový provoz, aby mohlo toto zařízení filtrovat případně selektivně zahazovat
Aktivní obranný mechanismus
Detekce je stejná jako u IDS (alert nebo nějaká zpráva)
Reakce - v ideálním případě přerušení útoku
Prevence prozi opětovnému výskytu útoku
Snaha zablokovat provoz, který se snaží například získat provoz ke koncovému počítači (malware, ransomware) - něco jako antivirový program v síti
Pro filtraci se používají ACL pravidla (paketový filtr)
Někdy problém, aby dané útody detekoval
ACL vidí jenom do 3 a 4 vrstvy
Pokud pojedeme přes GRE, tak nic neodhalí
Je to statická záležitost (I když se na základě nějakého útoku mohl dynamicky přidávat)
Když se to vloží před Firewall, tak zbírá vélké množství informací, které nám jsou k ničemu, protože to Firewall zahodí.
Když se dá za směrovač, tak dokáže odhalit anomálie ve vnitřní síti
Pokud někdo skenuje v mojí vnitřní síti, tak s tím jsem schopen něco udělat
Když se IPS vloží před nad, tak ztrácíme informace o vnitřní síti
Z jeho pohledu jde veškerý pohled na jednu adresu (případně prefix, který se používá pro natování)
Metody které hlídají na to nejsou moc stavěné. Typycky totiž reagují například na situaci, že je na jednu IP víc spojení atp.
Téměř nikdy se nepoužívá, že by automaticky sám blokoval provoz. Vždycky to musí jít přes nějakého správce, který potrvdí, že se to může zablokovat
Zákazníka nezajímá, že má zavirovný počítač a byl legitimně odříznut, jeho zajímá, že mu nejde internet.
Signatury
Signatura = pravidla, která IDS systém použije pro detekci útoku
Jednoduchá a staré zadarmo, složité a nové za peníze
Formát signatur
Pro detekci útoky stačí jeden paket
Výpočetně méně náročné
Nevyžaduje žádné uchování stavu
Složitější útoky nedokáže detekovat
Příklady
Validace ARP zpráv
Paket s podvrženou zdrojovou adresou
Detekce provozu směřující na nevyžádané porty
Detekce fragmentovaných paketů
Složený
Detekce založená na posloupnosti několika kroků
Uchovává stavovou informaci
Příklady
Prohledávání provozu pro detekci tunelového stavového protokolu
Ověření stavové komunikace u protokolu (např. HTTP při použití cookies, session id)
Může být (a často je) použitý regulární výraz pro nalezení vzoru
Náročné na zpracování - řada různých prací se to snaží řešit
Signature Trigger
Detekce signatury spustí definovanou akci - např alarm
Záleží na tipu detekce
Patter-based detection
Hledá se specifický vzor (pattern) (URL, forma SQL inject)
Policy-based detection
Hledá se vzor definovaný administrátorem
Anomaly-based detection
Detekuje "nové" útoky, které nebyly popsané v žádné signatuře
Často pouze marketing
Často se jedná pouze o nějaké prahy
Chytrý systém umí tyto prahy na základě běžného chování sítě přizpůsobovat
Fungují dobře na nějaké flooding útoky
Homey pod-based detection
Detekce útožníků z honeypot senzorů
Reputační systémy
Vytvoření sdílené databáze, která obsahuje míru důvěry pro jednotlivé služby/adresy
Email: spam, podvržené emaily
Spamhaus
Web: phishing, stránky s malwarem
Microsoft, Google, PhishTank
File sharing: malware
McAfee Trusted Source
Síťový provoz: botnety, zdroje DDoS útoků
NRENs, Microsoft
Zapojení IDS/IPS systémů do sítě
Problémy s propustností
Zpracování všech signatur vyžaduje čas - řádově nižší propustnost
Na malých rychlostech použitelné, na větších rychlostech velice drahé a možná použitelné
Šifrovaný provoz
Lze provést MiTM -> dopad a výkonnost
Krabička se snaží vloupat do provozu, zjistit informace a znovu zašifrovat
Provozní problémy -> občas se dešifrování/zašifrování neprovede a vede k rozpadu VPN
Systémy jsou typicky stavové
Problém hlavně při rychlejších sítích
Zapojení v topologii
IDS systém může být provozován bokem
Výpadek systému neovlivní provoz sítě
Provoz je typicky odbočen pomocí TAP nebo SPAN portem - problematická implementace merror portu
Dát pozor na útlum při odbočení např. u optiky.
Pokud má IPS systém filtrovat, je zapojený inline
SPoF!!! (single point of failure)
Stavové zařízení snižující propustnost na centrální lince?
Stavové zařízení
Například statový firewall
Při zahájení komunikace ze sítě se do tabulky uloží spojení
Každé příchozí spojení je kontrolováno na základě tabulky
Stavové zažízení a útok
Útočník je reálně schopný přetížit toto zařízení, protože se firewall musí podívat jestli může komunikovat. Dost často se stane, že při náporu odejde firawall I kdyby to server zvládl.
Stavové zařízení v active-active topologii (provoz jde jednou cestou tam a druhou spátky)
Příchozí provoz z druhé linky je provoz zahozen, protože je pravidlo pro jinou linku
Řešení je např sdílená paměť
Zařízení musí být propojené
Může být časový skluz v propagaci informace - odpověď přijde dřív než informace o povolení na druhý router
Notes