Aturan Tanda Tangan dengan Snort dan Suricata

Snort dan Suricata adalah dua mesin IDS/IPS sumber terbuka yang paling dominan. Keduanya menggunakan bahasa aturan yang sebagian besar kompatibel, sehingga aturan yang ditulis untuk salah satunya biasanya dapat dijalankan pada yang lain.

Suricata menambahkan pemrosesan multithread, pengurai protokol bawaan, ekstraksi berkas, dan pencatatan terperinci (EVE JSON); Snort 3 juga memodernisasi mesinnya dengan cara yang serupa. Mempelajari sintaks aturan sekali akan memberi Anda manfaat pada keduanya.

Setiap aturan memiliki dua bagian: bagian pembuka dan bagian isi dalam tanda kurung. Bagian pembuka menetapkan tindakan, protokol, dan arah lalu lintas; bagian isi menentukan apa yang harus dicocokkan dan cara melaporkannya.

Header dibaca dari kiri ke kanan:

• tindakan — alert, drop, reject, pass
• protokol — tcp, udp, icmp, ip (atau protokol aplikasi di Suricata: http, dns, tls)
• IP/port sumber dan IP/port tujuan
• arah — -> satu arah, atau <> dua arah

Variabel seperti $HOME_NET dan $EXTERNAL_NET berasal dari konfigurasi Anda agar aturan tetap portabel di berbagai situs.

Tindakan menentukan perilaku IDS atau IPS untuk aturan tersebut:

• alert — mencatat dan memberi tahu, tetapi tidak menghentikan lalu lintas (IDS)
• drop — membuang paket secara diam-diam (IPS, hanya dalam mode inline)
• reject — membuang paket dan mengirim TCP reset atau ICMP unreachable
• pass — mengizinkan secara eksplisit dan melewati aturan berikutnya

Mesin yang sama dapat menjadi IDS atau IPS, bergantung pada apakah mesin tersebut diterapkan secara inline dan tindakan yang digunakan.

Kata kunci content mencocokkan pola byte dalam muatan. Teks ditulis dalam tanda kutip; data biner ditulis di antara tanda pipa dalam format heksadesimal.

Kata kunci anchoring mempertajam pencocokan: offset, depth, distance, dan within membatasi lokasi kemunculan pola, sehingga meningkatkan akurasi sekaligus kinerja.

Aturan modern mencocokkan buffer yang memahami protokol, bukan aliran mentah. Setelah kata kunci buffer, pencocokan content berikutnya diterapkan pada bagian protokol yang telah diurai tersebut.

• http_uri — URI permintaan
• http_header — header permintaan/respons
• http_user_agent — agen pengguna
• tls_sni / dns_query — nama server TLS / kueri DNS

Pendekatan ini jauh lebih andal daripada mencari substring di seluruh paket.

Jika string tetap tidak memadai, pcre menghadirkan ekspresi reguler yang kompatibel dengan Perl. Padukan prapenyaring content yang murah dengan pcre agar ekspresi reguler hanya dijalankan pada paket kandidat, sehingga kinerja tetap terjaga.

Pengubah nocase membuat pencocokan konten tidak peka terhadap huruf besar-kecil, yang penting untuk header dan bidang yang dikendalikan pengguna dan dapat divariasikan oleh penyerang.

Opsi flow membatasi cakupan aturan berdasarkan status dan arah koneksi, sehingga mengurangi positif palsu dan beban pemrosesan.

• established — hanya pada sesi TCP yang telah selesai dibentuk
• to_server / to_client — arah permintaan dan respons

Pencocokan hanya pada respons server ketika koneksi berstatus established dan menuju client mencegah aturan terpicu oleh paket tersesat atau paket palsu.

Opsi pemeliharaan membantu menjaga aturan tetap mudah dikelola:

• sid — ID tanda tangan unik (gunakan 1000000+ untuk aturan lokal)
• rev — nomor revisi, naikkan setiap kali melakukan penyuntingan
• msg — teks peringatan yang dilihat analis
• classtype — kategori yang menentukan prioritas
• reference — tautan ke CVE atau buletin keamanan

sid yang stabil dan rev yang terus dinaikkan memungkinkan Anda melacak serta memperbarui aturan tanpa merusak dasbor dan aturan penekanan.

Meskipun kompatibel dalam hal aturan, kedua mesin ini memiliki kemampuan yang berbeda:

• Suricata menggunakan banyak utas, mengurai protokol aplikasi secara native, mengekstrak berkas, menghitung JA3, dan menghasilkan JSON EVE
• Snort 3 menulis ulang mesinnya untuk meningkatkan kinerja dan menyediakan sistem plugin modular

Beberapa kata kunci khusus untuk mesin tertentu. Suricata menambahkan kata kunci lapisan aplikasi (tls.sni, dns.query, http.method) serta fitur dataset/flowbits. Saat berbagi aturan, gunakan kemampuan terendah yang sama-sama didukung atau pertahankan kumpulan aturan khusus untuk tiap mesin.

Untuk mencegah aturan membanjiri konsol, terapkan ambang batas. detection_filter hanya terpicu setelah N peristiwa dalam suatu jendela waktu; threshold dengan limit membatasi volume peringatan.

Hal ini penting untuk deteksi brute-force dan pemindaian, karena satu peristiwa tidak berarti apa-apa, sedangkan lonjakan peristiwa merupakan sinyalnya.

Baca sebuah aturan dan perkirakan perilakunya.

Sekarang Anda dapat membaca dan menulis tanda tangan Snort/Suricata:

• Sebuah aturan = header (tindakan, protokol, sumber/tujuan, arah) + opsi badan
• Tindakan menentukan IDS atau IPS: alert, drop, reject, pass
• content dengan offset/kedalaman dan pencocokan heksadesimal mencocokkan byte muatan
• Buffer lekat (http.uri, tls.sni, dns.query) mencocokkan bidang protokol yang telah diurai
• pcre dan nocase menangani pola yang bervariasi
• flow membatasi cakupan berdasarkan status dan arah
• sid/rev/msg/reference menjaga aturan tetap mudah dikelola
• Ambang batas meredam derau dari brute-force dan pemindaian

Berikutnya: mendeteksi ancaman tanpa tanda tangan sama sekali.