SnortとSuricataによるシグネチャルール

SnortとSuricataは、2つの主要なオープンソースIDS/IPSエンジンです。両者は大部分で互換性のあるルール言語を共有しているため、一方のために作成したルールは通常もう一方でも実行できます。

Suricataは、マルチスレッド処理、ネイティブプロトコルパーサー、ファイル抽出、豊富なログ出力（EVE JSON）を追加しています。Snort 3も同様に独自のエンジンを現代化しました。ルール構文を一度学べば、両方でその知識を活用できます。

すべてのルールは、ヘッダーと、オプションを含む括弧付きのボディという2つの部分で構成されます。ヘッダーではアクション、プロトコル、トラフィックの方向を設定し、ボディでは何を照合し、どのように報告するかを定義します。

ヘッダーは左から右へ読み取ります。

• action — alert、drop、reject、pass
• protocol — tcp、udp、icmp、ip（Suricataではアプリケーションプロトコルの http、dns、tls も使用します）
• source IP/port と destination IP/port
• direction — -> は一方向、<> は双方向

$HOME_NET や $EXTERNAL_NET のような変数は設定から読み込まれるため、サイト間でルールを移植できます。

アクションによって、そのルールが IDS と IPS のどちらとして動作するかが決まります。

• alert — ログを記録して通知しますが、トラフィックは停止しません（IDS）
• drop — パケットを黙って破棄します（IPS、インライン配置時のみ）
• reject — 破棄したうえで、TCPリセットまたはICMP到達不能を送信します
• pass — 明示的に許可し、後続のルールをスキップします

同じエンジンでも、インラインで配置するかどうかと使用するアクションによって、IDSにもIPSにもなります。

contentキーワードは、ペイロード内のバイトパターンに一致します。テキストは引用符で囲み、バイナリはパイプ内に16進数で記述します。

アンカー用キーワードを使うと一致条件を厳密にできます。offset、depth、distance、withinによってパターンが現れる位置を制限できるため、精度とパフォーマンスの両方が向上します。

最新のルールは、生のストリームではなくプロトコル対応バッファを対象にマッチングします。バッファキーワードの後に続くcontentによるマッチングは、解析されたプロトコルのその部分に対して適用されます。

• http_uri — リクエストURI
• http_header — リクエスト／レスポンスヘッダー
• http_user_agent — User-Agent
• tls_sni / dns_query — TLSサーバー名／DNSクエリ

これは、パケット全体から部分文字列を検索するよりもはるかに信頼性が高い方法です。

固定文字列だけでは不十分な場合、pcreによってPerl互換正規表現を使用できます。低コストなcontentによる事前フィルターとpcreを組み合わせると、正規表現の実行対象を候補パケットだけに絞り、パフォーマンスを維持できます。

nocase修飾子を使うと、contentによるマッチングで大文字と小文字を区別しなくなります。これは、攻撃者が変化させられるヘッダーやユーザー制御フィールドで重要です。

flowオプションは、ルールを接続の状態と方向に限定し、誤検知と処理コストを削減します。

• established — 完了したTCPセッションに対してのみ適用
• to_server / to_client — リクエストとレスポンスの方向

サーバーからのレスポンスを、接続が確立済みでto_clientの場合にのみ照合すれば、無関係なパケットや偽装パケットに反応することを避けられます。

管理用オプションによって、ルールセットを保守しやすくできます。

• sid — 一意のシグネチャID（ローカルルールには1000000以上を使用します）
• rev — 改訂番号。編集するたびに増やします
• msg — アナリストに表示されるアラートテキスト
• classtype — 優先度を決めるカテゴリ
• reference — CVEまたはアドバイザリへのリンク

sidを安定させ、revを増分していけば、ダッシュボードや抑制設定を壊さずにルールを追跡・更新できます。

ルールには互換性がありますが、エンジンの機能は異なります。

• Suricataはマルチスレッドで動作し、アプリケーションプロトコルをネイティブに解析し、ファイルを抽出してJA3を計算し、EVE JSONを出力します
• Snort 3は、パフォーマンスとモジュール式プラグインシステムを重視してエンジンを書き直しています

一部のキーワードはエンジン固有です。Suricataはアプリケーション層キーワード（tls.sni、dns.query、http.method）や、データセットとflowbitsの機能を追加しています。ルールを共有する場合は、共通して利用できる最小限の機能に合わせるか、エンジンごとにルールセットを管理してください。

ルールによってコンソールがアラートで埋め尽くされるのを防ぐには、しきい値を適用します。detection_filterは一定時間内にN件のイベントが発生した後にのみ検知し、limitを指定したthresholdはアラート量に上限を設けます。

これは、ブルートフォース攻撃やスキャンの検知に不可欠です。1件のイベントには意味がなくても、短時間に集中して発生することがシグナルになるためです。

ルールを読んで、その動作を予測してください。

これで、Snort/Suricataのシグネチャを読み書きできるようになりました。

• ルールは、ヘッダー（アクション、プロトコル、送信元／宛先、方向）と本文のオプションで構成されます
• アクションによってIDSとIPSが決まります：alert、drop、reject、pass
• contentは、offset/depthや16進数による指定と組み合わせてペイロードのバイト列に一致させます
• スティッキーバッファ（http.uri、tls.sni、dns.query）は、解析済みのプロトコルフィールドに一致させます
• pcreとnocaseで変化するパターンに対応します
• flowで状態と方向を限定します
• sid／rev／msg／referenceによって、ルールを保守しやすくします
• しきい値によって、ブルートフォース攻撃やスキャンによるノイズを抑えます

次は、シグネチャをまったく使わずに脅威を検知します。